Auftragsverarbeitung — Goodlifekarte

Vereinbarung zur Auftragsverarbeitung

nach Artikel 28 der Datenschutz-Grundverordnung (DSGVO) Dokument B zu den Nutzungsbedingungen Goodlifekarte Fassung 1.0 · Stand: 26.07.2026

Diese Vereinbarung, ihre Anlagen, die Nutzungsbedingungen (Dokument A) und das Preisblatt tragen dieselbe Fassungsnummer. Für das gesamte Vertragswerk gibt es nur eine.

Zwischen

dem Kunden — dem Café, das Goodlifekarte einsetzt, mit den im Boss-Bereich hinterlegten Firmendaten — im Folgenden „Verantwortlicher" oder „Sie"

und

Ufuk Almali, Berlepschstraße 142, 14165 Berlin, Deutschland Einzelunternehmen, kein Registereintrag Steuernummer: [Steuernummer] Telefon: 0176 30733491

E-Mail für Weisungen, Meldungen und alle Erklärungen nach dieser Vereinbarung: support@goodlifekarte.de (Hier ist dieselbe, tatsächlich abrufbare Adresse einzutragen wie in Dokument A. Eine Adresse, unter der wir nicht erreichbar sind, steht in diesem Vertrag nicht.)

im Folgenden „Auftragsverarbeiter" oder „wir"

Vorbemerkung — bitte zuerst lesen

Wir stellen Ihnen die Software Goodlifekarte bereit. Dabei verarbeiten wir personenbezogene Daten, vor allem Daten Ihrer Gäste.

Sie entscheiden, was mit diesen Daten geschieht. Wir führen nur aus. Sie sind der Verantwortliche im Sinne des Artikels 4 Nummer 7 DSGVO, wir sind Auftragsverarbeiter im Sinne des Artikels 4 Nummer 8 DSGVO.

Diese Vereinbarung ist Bestandteil der Nutzungsbedingungen Goodlifekarte. Sie kommt mit Ihrer Zustimmung im Boss-Bereich zustande — und damit vor der Freischaltung Ihres Cafés. Erst nach der Freischaltung können Gästekarten ausgegeben werden; vorher entstehen keine Gästedaten. Sie gilt auch in der entgeltfreien Zeit vollständig und unabhängig davon, ob Sie später kostenpflichtig abschließen.

Sie ist kostenlos. Sie wird elektronisch geschlossen; das ist nach Artikel 28 Absatz 9 DSGVO ausdrücklich zulässig, eine Unterschrift ist nicht erforderlich.

Was wir über Ihre Zustimmung festhalten: die Stufe (kostenlos oder kostenpflichtig), die Fassungsnummer, den Namen der Person, die zugestimmt hat, deren IP-Adresse und den Zeitpunkt. Ohne Namenseintrag nimmt das System keine Zustimmung an. Ändert sich die Fassungsnummer, fragt der Boss-Bereich beim nächsten Anmelden erneut. Jede Zustimmung ist eine eigene Zeile; es wird nichts überschrieben. Auf Anfrage geben wir Ihnen den Eintrag heraus.

Diese Vereinbarung, die Nutzungsbedingungen und das Preisblatt können Sie jederzeit unter /avv, /vertrag und /preisblatt Ihrer Café-Adresse lesen, herunterladen und speichern — auch ohne Anmeldung.

Zwei Anlagen sollten Sie wirklich lesen: Anlage 1 sagt, welche Daten anfallen. Anlage 2 sagt, wie wir sie schützen — und in Ziffer 9 ausdrücklich, was wir nicht tun. Wir haben dort nichts hineingeschrieben, was die Software nicht leistet. Wo eine Formulierung unschön ist, ist sie richtig.

§ 1 Gegenstand, Dauer, Ort der Verarbeitung

(1) Gegenstand der Verarbeitung ist der Betrieb der Software Goodlifekarte für Sie.

(2) Art, Zweck und Umfang der Verarbeitung, die Arten der Daten, die Kategorien der betroffenen Personen und die eingerichteten Löschabläufe ergeben sich aus Anlage 1.

(3) Die Verarbeitung findet innerhalb der Europäischen Union und des Europäischen Wirtschaftsraums statt. Der Server, auf dem Ihre Datenbank liegt, steht in Frankfurt am Main. Übermittlungen an andere Stellen finden ausschließlich an die in Anlage 3 genannten statt. Eine Verarbeitung in einem Drittland außerhalb der EU und des EWR findet nur statt, soweit sie in Anlage 3 ausdrücklich genannt und dort abgesichert ist.

(4) Beginn. Die Vereinbarung beginnt mit Ihrer Zustimmung im Boss-Bereich und damit vor der Freischaltung Ihres Cafés.

(5) Ende. Sie endet mit dem Ende des Nutzungsvertrags; § 8 gilt für die Abwicklung darüber hinaus fort. Sie kann nicht gesondert gekündigt werden, solange der Nutzungsvertrag läuft.

(6) Cafés, die vor dem Abschluss dieser Vereinbarung freigeschaltet wurden. War Ihr Café bereits vor Abschluss dieser Vereinbarung freigeschaltet, gilt sie ab dem Tag ihres Abschlusses. Sie wird für die Zeit davor nicht rückwirkend in Kraft gesetzt und nicht rückdatiert. Wir haben in dieser Zeit dieselben technischen und organisatorischen Maßnahmen angewandt, die in Anlage 2 beschrieben sind; eine Übermittlung an andere als die in Anlage 3 genannten Stellen hat nicht stattgefunden. Für die datenschutzrechtliche Bewertung dieses Zeitraums sind Sie als Verantwortlicher zuständig; wir unterstützen Sie dabei nach § 3.

(7) Widersprechen sich diese Vereinbarung und die Nutzungsbedingungen, geht in Datenschutzfragen diese Vereinbarung vor.

§ 2 Weisungen

(1) Wir verarbeiten personenbezogene Daten ausschließlich auf Ihre dokumentierte Weisung. Das gilt auch für eine Übermittlung in ein Drittland. Etwas anderes gilt nur, wenn wir nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet sind; in diesem Fall teilen wir Ihnen die Rechtsvorschrift vor der Verarbeitung mit, sofern das Recht das nicht verbietet.

(2) Als Weisung gelten: der Nutzungsvertrag einschließlich dieser Vereinbarung, die in Anlage 1 Ziffer 8 beschriebenen automatischen Löschabläufe sowie sämtliche Einstellungen, die Sie im Boss-Bereich vornehmen — insbesondere Speisekarte, Belohnung, Aktionen und deren Zielgruppen, Personal-Konten, Öffnungs- und Abholzeiten, der Schalter für widerrufbare Ware, der Schalter für das Tresen-Abo und die Firmendaten.

(3) Weitere Weisungen erteilen Sie in Textform an die oben genannte Adresse. Eine mündliche Weisung bestätigen Sie unverzüglich in Textform.

(4) Halten wir eine Weisung für rechtswidrig, teilen wir Ihnen das unverzüglich mit. Wir dürfen die Ausführung bis zur Klärung aussetzen.

(5) Lässt sich eine Weisung mit den vorhandenen Funktionen der Software nicht umsetzen, teilen wir Ihnen das unverzüglich mit und nennen Ihnen, was dafür nötig wäre und wie lange es dauert. Wir sagen Ihnen dann nicht zu, was wir nicht können.

(6) Keine eigenen Zwecke. Wir verwenden die Daten nicht für eigene Zwecke. Wir werten die Daten Ihres Cafés nicht zusammen mit den Daten anderer Cafés aus, vergleichen Cafés nicht miteinander und geben nichts zu Werbezwecken weiter. Zulässig bleibt allein die Auswertung technischer Summenwerte über alle Cafés hinweg — etwa wie oft eine Funktion insgesamt aufgerufen wird —, die weder auf Ihr Café noch auf einzelne Personen zurückgeführt werden können.

(7) Unser Verwaltungszugang — offen gesagt. Wir vergeben das Passwort Ihres Boss-Zugangs und kennen es dauerhaft; es steht im Klartext in der Einrichtungsdatei Ihres Cafés auf dem Server (Anlage 2 Ziffer 2). Technisch können wir uns damit jederzeit als Ihre Leitung anmelden und alle Daten sehen, die Sie selbst sehen. Dazu gilt:

a) Eine solche Anmeldung ist keine von Ihrer Weisung gedeckte Verarbeitung. Wir nehmen sie nur vor, wenn Sie uns dazu in Textform auffordern, oder wenn sie zur Beseitigung einer Störung oder zur Abwehr einer Gefahr für die Daten unumgänglich ist.

b) Ein Protokoll darüber, wer welche Gästedaten angesehen hat, führt die Software heute nicht (Anlage 2 Ziffer 9). Sie könnten eine solche Anmeldung deshalb nicht selbst nachprüfen. Wir sagen Ihnen deshalb zu, jede Anmeldung nach Buchstabe a vorher oder unverzüglich danach in Textform anzuzeigen, mit Grund und Zeitpunkt.

c) Ein Wechsel des Boss-Passworts ist im Boss-Bereich derzeit nicht möglich. Auf Ihre Anforderung in Textform vergeben wir unverzüglich ein neues und teilen es Ihnen mit. Dasselbe gilt bei einem Inhaber- oder Geschäftsführerwechsel und bei jedem Verdacht.

§ 3 Unsere Pflichten

(1) Vertraulichkeit. Derzeit hat ausschließlich der Auftragsverarbeiter selbst Zugriff auf die Systeme. Er ist durch diese Vereinbarung zur Vertraulichkeit verpflichtet. Jede weitere Person, die Zugang zu den Daten erhalten soll, verpflichten wir vor Aufnahme der Tätigkeit in Textform zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegt. Die Verpflichtung gilt nach Ende der Tätigkeit fort.

(2) Sicherheit. Wir treffen die technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO. Der heutige Stand ist in Anlage 2 beschrieben. Wir dürfen die Maßnahmen weiterentwickeln; das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen teilen wir Ihnen nach § 9 mit.

(3) Betroffenenrechte. Wendet sich eine betroffene Person unmittelbar an uns, leiten wir das Anliegen unverzüglich an Sie weiter und beantworten es nicht selbst. Wir unterstützen Sie mit geeigneten Maßnahmen bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Dabei gilt heute:

a) Ein Gast kann über seine Kartenseite selbst einen Datenauszug abrufen und herunterladen und seine Karte selbst löschen. Das ist der Regelweg für Auskunft und Löschung.

b) Dieser Selbstauszug ist nicht vollständig im Sinne des Artikels 15 DSGVO. Er enthält: Kartennummer, selbst eingetragenen Namen, eine gespeicherte Handynummer, Stempelstand und Stempelziel, Besuchszahl, Anlagedatum, letzten Besuch, das Merkmal, ob eine Google-Karte besteht, die einzelnen Bestellungen, die einzelnen Gutscheine und die Zeitpunkte der Stempel. Nicht enthalten sind: eingelöste Belohnungen, Tresen-Abo, Empfehlungsherkunft, Einwilligungsmerkmal, die Registrierung von Wallet-Geräten, eingegangene Widerrufserklärungen, die Mail-Warteschlange, die Art der letzten Handlung, der Zeitpunkt der letzten Einlösung und das Merkmal, ob der Zugang wegen eines verlorenen Geräts gesperrt wurde. Diese Angaben liefern wir auf Ihre Weisung in Textform, in der Regel innerhalb von fünf Werktagen.

c) Alle übrigen Anträge — insbesondere Berichtigung, Einschränkung oder eine von Ihnen angeordnete Löschung eines einzelnen Gastes — führen wir auf Ihre Weisung in Textform aus. Eine Funktion, mit der Sie das selbst erledigen können, gibt es im Boss-Bereich derzeit nicht. Wir führen solche Weisungen in der Regel innerhalb von fünf Werktagen aus und bestätigen die Ausführung.

(4) Sicherheitsvorfälle. Wir melden Ihnen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntnis, in Textform. Die Meldung enthält, soweit bekannt: Art des Vorfalls, betroffene Datenarten und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen und die ergriffenen Maßnahmen. Wir unterstützen Sie bei Ihren Pflichten nach den Artikeln 33 und 34 DSGVO. Die Meldung an die Aufsichtsbehörde nehmen Sie vor, nicht wir.

(5) Weitere Unterstützung. Wir unterstützen Sie bei der Einhaltung der Artikel 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung, soweit das erforderlich ist und uns die Angaben vorliegen.

(6) Verzeichnis. Wir führen ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Artikel 30 Absatz 2 DSGVO und legen es Ihnen auf Verlangen vor.

(7) Datenschutzbeauftragter. Ein Datenschutzbeauftragter ist nicht zu benennen; die Schwellen des Artikels 37 DSGVO und des § 38 BDSG sind nicht erreicht. Ansprechpartner in Datenschutzfragen ist Ufuk Almali unter der oben genannten Adresse.

(8) Trennung. Die Daten jedes Cafés liegen in einer eigenen Datenbankdatei, werden von einem eigenen Systemdienst verarbeitet, liegen in einem eigenen Ordner und sind über eine eigene Internetadresse erreichbar. Mit den Funktionen der Software kann ein Café die Daten eines anderen nicht erreichen. — Klarstellung: Eine Trennung auf Betriebssystemebene besteht nicht. Alle Café-Dienste laufen auf demselben Server unter demselben Systembenutzer; technisch könnte der Dienst eines Cafés die Datenbankdatei eines anderen lesen. Näheres in Anlage 2 Ziffer 7 und Ziffer 9.

§ 4 Ihre Pflichten

(1) Sie sind für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage und für das Vorliegen erforderlicher Einwilligungen.

(2) Ihre Datenschutzerklärung für Gäste. Sie informieren die betroffenen Personen nach den Artikeln 13 und 14 DSGVO. Die Software erzeugt aus Ihren Angaben eine Datenschutzerklärung für Ihre Gäste. Das ist eine technische Hilfe und keine Rechtsberatung. Sie prüfen den Text und setzen ihn in eigener Verantwortung ein.

Wichtiger Hinweis, den wir nicht verschweigen: Der von uns erzeugte Gästetext enthält im heutigen Stand vier Aussagen, die vom tatsächlichen Verhalten der Software abweichen. Prüfen Sie diese Stellen, bevor Sie den Text einsetzen:

„Warst du zwei Jahre nicht da, löschen wir sie." — Eine automatische Löschung inaktiver Gästekarten gibt es nicht (Anlage 1 Ziffer 8).
„Bestellungen und Zahlungsbelege: zehn Jahre." — Löscht ein Gast seine Karte selbst, werden seine Bestellungen sofort mitgelöscht (§ 7 Absatz 2 und Absatz 7 dieses Paragrafen).
Zu Apple: „dabei werden keine Inhalte übertragen." — Der Anstupser trägt kein Nachrichtenfeld, aber die Kartennummer als Bündelungsmerkmal (Anlage 3 Nummer 2).
Zu Google: Die Aufzählung der übermittelten Daten nennt den persönlichen Aufruf-Link der Karte nicht (Anlage 3 Nummer 3).

Diese vier Sätze stammen aus unserer Vorlage, nicht aus Ihren Angaben. Für daraus entstehende Ansprüche gilt die Rückausnahme von der Freistellung in den Nutzungsbedingungen. Wir berichtigen die Vorlage; bis dahin gilt dieser Hinweis.

(3) Sie erteilen Weisungen rechtzeitig und vollständig und benennen uns eine Person, die für Datenschutzfragen erreichbar ist.

(4) Keine besonderen Kategorien. Sie stellen keine Daten nach Artikel 9 DSGVO in das System ein — etwa Gesundheitsdaten, religiöse oder politische Angaben. Die Software ist dafür nicht ausgelegt. Das gilt auch für alle Freitextfelder: Aktionstitel, Aktionstext und Angebot, Belohnungstext, Namen von Personal-Konten, Namen und Beschreibungen in der Speisekarte, Namen der Abo-Pläne und das Feld für die Abholzeit.

(5) Ihre Beschäftigten. Die Software hält fest, welches Personal-Konto wann zuletzt angemeldet war und welches Konto einen Stempel gegeben hat, und zeigt der Leitung die Zahl der Stempel je Konto. Das ist eine Einrichtung, die zur Kontrolle von Leistung und Verhalten geeignet ist. Sie informieren Ihre Beschäftigten hierüber nach Artikel 13 DSGVO und stellen sicher, dass eine etwaige Mitbestimmung des Betriebsrats (§ 87 Absatz 1 Nummer 6 BetrVG) beachtet wird.

(6) Zugangsdaten. Sie schützen den Boss-Zugang und legen für jede Person am Tresen ein eigenes Personal-Konto an; Konten ausgeschiedener Mitarbeiter deaktivieren oder löschen Sie unverzüglich — die offene Sitzung endet dadurch sofort. Bitte beachten Sie:

a) Das Boss-Passwort können Sie nicht selbst ändern. Wir ändern es unverzüglich auf Ihre Anforderung in Textform (§ 2 Absatz 7 Buchstabe c). Eine Pflicht, es selbst zu wechseln, trifft Sie nicht, solange die Funktion fehlt.

b) Die PIN eines Personal-Kontos steht im Klartext in Ihrer Datenbank und ist Ihnen im Boss-Bereich einsehbar. Mit einer PIN lässt sich echtes Geld bewegen (Anlage 2 Ziffer 2). Behandeln Sie sie deshalb nicht wie einen Türcode, sondern wie einen Zugang zu Ihrer Kasse. Geben Sie eine PIN nicht weiter und vergeben Sie beim Ausscheiden einer Person eine neue.

(7) Ihre Aufbewahrungspflichten — und was wir dafür tun. Löscht ein Gast seine Karte selbst, löscht die Software zugleich seine Bestellungen, Gutscheine, Stempel und Einlösungen. Eine Anonymisierung findet dabei heute nicht statt; Betrag, Datum und Belegnummer verschwinden mit. Solange das so ist und solange Sie Ihre Daten nicht selbst ausleiten können, stellen wir Ihnen auf Anforderung jederzeit und kostenlos einen Auszug Ihrer Bestellungen bereit, innerhalb von 14 Tagen. Eine Obliegenheit, Belege selbst rechtzeitig aus dem System zu ziehen, trifft Sie bis dahin nicht. Wir weisen ausdrücklich darauf hin, dass die Software kein Archiv im Sinne des § 147 AO oder des § 257 HGB und kein elektronisches Aufzeichnungssystem nach § 146a AO ist.

(8) Sie unterrichten uns unverzüglich, wenn Ihnen Fehler oder Unregelmäßigkeiten auffallen.

§ 5 Unterauftragsverarbeiter

(1) Sie erteilen hiermit die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die derzeit eingesetzten stehen in Anlage 3 und sind damit ausdrücklich genehmigt.

(2) Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in dieser Vereinbarung gelten. Kommt er seinen Pflichten nicht nach, haften wir Ihnen gegenüber für deren Einhaltung.

(3) Wollen wir einen weiteren Unterauftragsverarbeiter hinzuziehen oder einen bestehenden ersetzen, teilen wir Ihnen das mindestens vier Wochen vorher in Textform mit. Das gilt ausdrücklich auch für die Inbetriebnahme des E-Mail-Versands (Anlage 3 Nummer 4).

(4) Ist ein sofortiger Wechsel zur Abwehr einer Gefahr für die Verfügbarkeit oder die Sicherheit der Daten erforderlich, dürfen wir ihn unverzüglich vornehmen. Wir informieren Sie dann unverzüglich nachträglich und nennen den Grund.

(5) Sie können binnen zwei Wochen ab Zugang der Mitteilung aus einem datenschutzrechtlichen Grund widersprechen. Bei berechtigtem Widerspruch suchen wir eine Lösung; findet sich keine, können Sie den Nutzungsvertrag zum Zeitpunkt der geplanten Änderung außerordentlich kündigen.

(6) Stripe ist kein Unterauftragsverarbeiter. Die Begründung steht am Ende der Anlage 3. Stripe gehört in die Datenschutzerklärung, die Sie Ihren Gästen zeigen — nicht in diese Liste.

(7) Reine Nebenleistungen ohne Zugriff auf personenbezogene Daten — etwa Telekommunikation, Domainverwaltung, Reinigung, Bewachung — sind keine Unterauftragsverarbeitung.

§ 6 Nachweise und Kontrolle

(1) Wir weisen die Einhaltung dieser Vereinbarung auf Anfrage nach, insbesondere durch eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen, durch Auskunft in Textform und durch Vorlage von Konfigurations- und Protokollauszügen.

(2) Sie können sich darüber hinaus im erforderlichen Umfang davon überzeugen, dass diese Vereinbarung eingehalten wird — durch Selbstauskunft, durch Vorlage der Dokumentation und durch eine ferngestützte Überprüfung (Videokonferenz mit Vorführung am System). Wir weisen darauf hin: Die Server stehen beim Hoster (Anlage 3 Nummer 1), zu dem wir selbst keinen physischen Zutritt haben; die Verwaltung erfolgt aus den Geschäftsräumen des Auftragsverarbeiters, die zugleich Wohnraum sind. Eine Überprüfung vor Ort findet deshalb nur bei einem konkreten Anlass statt und wird mindestens vier Wochen vorher in Textform angekündigt.

(3) Überprüfungen erfolgen in der Regel höchstens einmal je Kalenderjahr. Bei einem konkreten Anlass — insbesondere nach einer Datenschutzverletzung oder auf Verlangen einer Aufsichtsbehörde — auch häufiger.

(4) Sie tragen die Kosten Ihrer eigenen Überprüfung. Übersteigt unser Aufwand das Übliche, können wir eine angemessene Vergütung verlangen; das gilt nicht, wenn die Überprüfung einen Verstoß aufdeckt.

(5) Beauftragte Prüfer dürfen keine Wettbewerber von uns sein und sind zur Verschwiegenheit zu verpflichten.

(6) Wir arbeiten mit den Aufsichtsbehörden zusammen und informieren Sie unverzüglich über behördliche Maßnahmen, die Ihre Daten betreffen.

(7) Die Befugnisse der Aufsichtsbehörden nach Artikel 58 DSGVO bleiben von den Absätzen 2 bis 5 unberührt.

§ 7 Berichtigung, Löschung, Einschränkung

(1) Wir berichtigen, löschen oder schränken die Verarbeitung der Daten nur auf Ihre Weisung ein.

(2) Ausgenommen sind zwei Abläufe, die in der Software eingerichtet sind und als von Ihnen angewiesen gelten:

a) die automatischen Löschabläufe nach Anlage 1 Ziffer 8;

b) die Selbstlöschung durch den Gast. Löscht ein Gast über seine Kartenseite die Karte, löscht die Software seine Karte, seine Bestellungen, seine Gutscheine, seine Stempel, seine Einlösungen, seine Sitzungen und die Anmeldung seiner Wallet-Geräte für diese Karte und legt eine bestehende Google-Wallet-Karte still (Anlage 3 Nummer 3).

(3) Was die Selbstlöschung nicht erfasst — vollständig aufgezählt:

die Geräteeinträge der Apple-Wallet (Gerätekennung und Push-Kennung). Sie werden nur entfernt, wenn Apple das Gerät als nicht mehr erreichbar meldet; nach der Löschung der Karte kann dieser Auslöser nicht mehr eintreten. Die Einträge bleiben damit unbefristet gespeichert;
eingegangene Widerrufserklärungen (Name, Angaben zum Vertrag, E-Mail-Adresse, Freitexte);
bereits erzeugte Nachrichten in der Mail-Warteschlange (Empfängeradresse, Betreff, voller Text);
Einträge im Systemprotokoll des Servers, die die Kartennummer enthalten (Anlage 1 Ziffer 6);
das bei Google gespeicherte Kartenobjekt. Google bietet kein Löschen an; die Karte wird auf „abgelaufen" gesetzt, Name und Links werden überschrieben (Anlage 3 Nummer 3).

Diese Daten löschen wir auf Ihre Weisung in Textform.

(4) Andere als die in Absatz 2 genannten Löschungen führen wir nur auf Weisung aus.

§ 8 Löschung oder Rückgabe nach Ende der Verarbeitung

(1) Nach Beendigung der Verarbeitung löschen wir alle personenbezogenen Daten oder geben sie zurück — nach Ihrer Wahl. Sie teilen uns Ihre Wahl in Textform mit.

(2) Treffen Sie keine Wahl, gilt: Wir stellen Ihnen die Daten Ihres Cafés 30 Tage lang auf Anforderung als Auszug im Format CSV oder JSON bereit. Der Auszug wird derzeit von Hand erstellt; wir liefern ihn innerhalb von 14 Tagen nach Ihrer Anforderung. Eine Selbstbedienungsfunktion im Boss-Bereich gibt es dafür heute nicht.

(3) Anschließend löschen wir die Daten vollständig — frühestens jedoch 14 Tage, nachdem wir einen fristgerecht angeforderten Auszug bereitgestellt haben. Die Löschung umfasst die Datenbank Ihres Cafés und Ihre Einrichtungsdateien. Sicherungskopien werden mit dem regulären Sicherungszyklus ausgesteuert, spätestens 30 Tage nach der Löschung.

(4) Wir bestätigen die Löschung auf Verlangen in Textform.

(5) Bestehen für uns gesetzliche Aufbewahrungspflichten, bleiben die davon erfassten Daten gespeichert; ihre Verarbeitung wird auf den Zweck der Aufbewahrung eingeschränkt.

(6) Wallet-Karten. Mit Beendigung der Verarbeitung legen wir die ausgegebenen Wallet-Karten still, soweit das mit den vorhandenen Funktionen möglich ist:

Google-Wallet-Karten können je Karte stillgelegt werden; die bei Google gespeicherte Karte wird dabei auf „abgelaufen" gesetzt und ihr Inhalt überschrieben. Eine Funktion, die das für alle Karten eines Cafés auf einmal erledigt, gibt es heute nicht; wir führen es je Karte aus.
Apple-Wallet-Karten liegen auf dem Gerät des Gastes. Mit der Löschung der Datenbank entfallen die Geräteregistrierungen und die Push-Kennungen; von uns geht danach keine Übermittlung mehr an Apple. Den Pass selbst kann nur der Gast von seinem Gerät entfernen.

Über den Umfang der Stilllegung informieren wir Sie in Textform. Auf Ihre Pflicht, Ihre Gäste rechtzeitig vor dem Vertragsende zu informieren (Nutzungsbedingungen § 19), wird hingewiesen.

(7) Nicht erfasst: der Nachweis Ihrer Zustimmung. Die Aufzeichnungen über Ihre Zustimmung zu diesem Vertragswerk (Anlage 1 Ziffer 5) sind von den Absätzen 1 bis 3 ausgenommen. Für diese Daten ist der Auftragsverarbeiter selbst Verantwortlicher; er bewahrt sie zum Nachweis auf und gibt sie nicht als Teil des Datenauszugs heraus. Auf Anfrage erhalten Sie den Sie betreffenden Eintrag.

§ 9 Änderungen dieser Vereinbarung und ihrer Anlagen

(1) Ändern sich die tatsächlichen Verhältnisse — insbesondere die verarbeiteten Datenarten, die Zwecke oder die eingerichteten Löschabläufe —, passen wir Anlage 1 an und teilen Ihnen die neue Fassung mindestens 30 Tage vorher in Textform mit. Eine Anlage, die den tatsächlichen Stand nicht mehr abbildet, ist schlimmer als eine unschöne Anlage; deshalb ist diese Anpassung eine Pflicht und kein Recht.

(2) Anlage 2 entwickeln wir nach § 3 Absatz 2 fort. Wesentliche Änderungen teilen wir Ihnen mit. Das Schutzniveau darf nicht sinken.

(3) Änderungen des Vertragstextes dieser Vereinbarung dürfen wir nur vornehmen, wenn dies wegen einer Änderung der Rechtslage, einer Entscheidung eines obersten Gerichts, einer Vorgabe einer Aufsichtsbehörde oder geänderter Vorgaben von Apple oder Google erforderlich ist. Wir kündigen die Änderung mindestens 30 Tage vorher in Textform an.

(4) Sinkt durch eine Änderung nach den Absätzen 1 bis 3 das Schutzniveau, können Sie widersprechen; § 5 Absatz 5 gilt entsprechend.

(5) Ändert sich die Fassungsnummer des Vertragswerks, fragt der Boss-Bereich beim nächsten Anmelden erneut nach Ihrer Zustimmung. Die alte Zustimmung bleibt als Nachweis erhalten.

§ 10 Haftung, Schlussbestimmungen

(1) Für die Haftung gilt Artikel 82 DSGVO.

(2) Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Nutzungsvertrags, soweit Artikel 82 DSGVO dem nicht entgegensteht.

(3) Die Beschreibungen in Anlage 2 sind eine Beschreibung des heutigen Standes, keine Garantie. Eine Garantie übernehmen wir nur, wenn sie ausdrücklich als „Garantie" bezeichnet ist.

(4) Im Übrigen gelten die Schlussbestimmungen des Nutzungsvertrags, insbesondere zur Textform, zum anwendbaren Recht und zum Gerichtsstand.

Anlage 1 — Gegenstand der Verarbeitung

Fassung 1.0 · Stand: 26.07.2026

1. Gegenstand

Betrieb der Software Goodlifekarte für das Café: digitale Stempelkarte, Wallet-Karten für Apple und Google, Aktionen des Cafés an dessen Gäste, Online-Bestellung zur Abholung, Tresen-Abo („Kaffee-Abo"), Auswertung für den Betrieb des Cafés, Verwaltung der Personal-Zugänge.

2. Art der Verarbeitung

Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Auswerten und Bilden von Gruppenzuordnungen (Profilbildung), Übermitteln an die in Anlage 3 genannten Stellen, Einschränken, Löschen, Vernichten.

3. Zweck

Stempelstand führen und Belohnungen ausgeben · Gäste auf einem neuen Gerät wiedererkennen · Wallet-Karten erzeugen und aktuell halten · Aktionen des Cafés auf die Wallet-Karte bringen · Online-Bestellungen entgegennehmen, an das Personal übergeben und abrechnen · Tresen-Abos setzen und einlösen · dem Café Kennzahlen über seinen eigenen Betrieb anzeigen · Gäste anhand von Besuchshäufigkeit und letztem Besuch in Gruppen einteilen („Stammgast", „schläft", „neu") und Aktionen des Cafés gezielt an diese Gruppen ausspielen · Personal-Zugänge verwalten · Missbrauch abwehren.

Hinweis zur Gruppenbildung. Die Schwellen stehen in der Einrichtungsdatei Ihres Cafés (derzeit: „Stammgast" ab 5 Besuchen, „schläft" ab 21 Tagen ohne Besuch). Die Gruppe entscheidet, wer eine Aktion erhält, und sie erscheint zusätzlich auf der Wallet-Karte des Gastes. Sie brauchen diese Angabe für Ihre Information nach Artikel 13 Absatz 2 DSGVO und für den Widerspruch gegen Direktwerbung nach Artikel 21 Absatz 2 DSGVO.

4. Dauer

Für die Laufzeit des Nutzungsvertrags, danach nach § 8 dieser Vereinbarung. Einzelne Datenarten haben kürzere Fristen; siehe Ziffer 8.

5. Kategorien betroffener Personen

Gäste des Cafés, die eine Stempelkarte nutzen, online bestellen oder ein Tresen-Abo haben
Beschäftigte des Cafés mit einem Personal-Zugang
Personen, die einen Widerruf erklären — nur wenn das Café widerrufbare Ware online verkauft (Voreinstellung: aus)

Nicht Gegenstand dieser Vereinbarung: die Angaben zum Café selbst und zu seiner Leitung — Firmendaten für das Impressum einschließlich vertretungsberechtigter Person, E-Mail und Telefon; die Angaben zum Stripe-Konto des Cafés (Kontokennung, Freigabestand, E-Mail des Kontoinhabers); der Boss-Zugang; sowie die Aufzeichnungen über die Zustimmung zum Vertragswerk (Stufe, Fassungsnummer, Name der zustimmenden Person, deren IP-Adresse, Zeitpunkt). Für diese Daten ist der Auftragsverarbeiter im Rahmen des Vertragsverhältnisses selbst Verantwortlicher; wie er sie verarbeitet, steht in seiner Datenschutzinformation für Geschäftskunden unter /datenschutz-geschaeftskunden Ihrer Café-Adresse. Diese Daten liegen technisch in derselben Datenbankdatei wie die Gästedaten; § 8 Absatz 7 regelt, was daraus folgt.

6. Arten der Daten

Die Aufstellung ist am Programmcode geprüft. Sie beschreibt, was tatsächlich gespeichert wird.

Bereich	Daten
Stempelkarte	zufällig erzeugte Kartennummer (6 Zeichen) · Anzahl Stempel · Anzahl Besuche · Merkmal „Belohnung einlösbar" · Datum der Anlage · Datum des letzten Besuchs · Zeitpunkt der letzten Einlösung · Art der letzten Handlung (Stempel oder Einlösung) · Merkmal, ob eine Google-Karte besteht · Merkmal, ob der Zugang wegen eines verlorenen Geräts gesperrt wurde · Einwilligungsmerkmal · Merkmal „Karte geteilt" (Feld vorhanden, wird derzeit von keiner Funktion gesetzt)
Freiwillige Angabe: Name	Name des Gastes — nur wenn er ihn selbst einträgt. Ohne Angabe vergibt das System eine laufende Nummer („Gast 12"), damit das Personal zwei Gäste unterscheiden kann.
Freiwillige Angabe: Handynummer	Die ausgelieferte Gastoberfläche bietet kein Eingabefeld dafür an. Die Schnittstelle nimmt eine Nummer jedoch entgegen und speichert sie. Ist eine Nummer gespeichert, wird sie auf Eindeutigkeit geprüft, bei der Personal-Suche mitdurchsucht und dem Gast in seiner Selbstauskunft angezeigt. Mit dem Eintragen wird zugleich das Einwilligungsmerkmal gesetzt. Wir werden Feld und Schnittstellenzweig entfernen; bis dahin steht die Angabe hier, damit diese Anlage nicht das Gegenteil dessen behauptet, was der Code tut.
Abgeleitete Kennzahlen je Gast	Gesamtumsatz aus bezahlten Online-Bestellungen · Anzahl der Bestellungen · Anzahl eingelöster Belohnungen · Gruppenzuordnung („Stammgast", „schläft", „neu"). Werden bei jedem Aufruf neu berechnet, nicht gespeichert, und der Leitung angezeigt.
Technischer Schlüssel	ein Geheimnis, mit dem sich das Gerät des Gastes ausweist · ein Prüfwert (SHA-256) des persönlichen Aufruf-Links · eine Versionsnummer, mit der ein alter Link ungültig gemacht wird
Einzelereignisse	jeder Stempel mit Zeitpunkt und der Kennung des Personal-Kontos, das ihn gegeben hat · jede Einlösung mit Belohnungstext und Zeitpunkt · Gutscheine mit Titel, Herkunft, Wert, Status und Zeitpunkten
Aktionen	Titel, Text, Angebot, Zielgruppe, angenommener Durchschnittsbon, Zahl der erreichten Gäste, Laufzeit — Inhalte des Cafés; personenbezogen über die Zuordnung des Gutscheins zu einer Karte und über die Zielgruppe
Bestellung	bestellte Positionen und Mengen · Warenwert · Trinkgeld · tatsächlich gezahlter Betrag · gewählte Abholzeit (Freitextfeld) · Status der Annahme oder Ablehnung · Zahlungsstatus · Zeitpunkte · Kennungen des Zahlungsvorgangs bei Stripe (Bezahlseite, Zahlungsabsicht, Konto des Cafés) · Merkmal, ob dafür bereits ein Stempel vergeben wurde · Betrag der Umsatzbeteiligung
E-Mail-Adresse des Gastes	Verlangt wird sie nur bei einer Bestellung mit widerrufbarer Ware — die Widerrufsbelehrung muss in Textform zugehen. Der Online-Verkauf widerrufbarer Ware ist in der Voreinstellung ausgeschaltet. Wird eine Adresse freiwillig mitgeschickt, wird sie bei jeder Bestellung gespeichert und für eine Bestell- und Ablehnungsbestätigung in die Warteschlange gestellt. Versendet wird sie derzeit nicht — ein Versanddienst ist nicht eingerichtet (Anlage 3 Nummer 4).
Widerruf	Name · Angabe zur Identifizierung des Vertrags · E-Mail-Adresse · Positionen · Grund (beides Freitext) · Zeitpunkt des Eingangs und der Bestätigung — nur wenn ein Gast die Widerrufs-Schaltfläche benutzt
Mail-Warteschlange	Empfängeradresse · Betreff · voller Text der Nachricht · Antwortadresse · Zweck · Bezug · Zahl der Zustellversuche · Fehlermeldung. Diese Warteschlange füllt sich nur, wenn E-Mails anfallen; ein Versanddienst ist derzeit nicht eingerichtet (Anlage 3 Nummer 4), die Nachrichten verlassen den Server also nicht.
Tresen-Abo	gewählter Plan · Beginn · Ende · Datum der letzten Einlösung
Empfehlung	von welcher Karte ein Gast geworben wurde — nur wenn die Empfehlungsfunktion eingeschaltet ist (Voreinstellung: aus)
Wallet-Karte	Kennung des Geräts · Push-Kennung des Geräts · Zuordnung Gerät ↔ Kartennummer · Zeitpunkte · Zeitstempel des letzten Kartenstands
Wallet-Protokoll	Fehlermeldungen, die das Gerät des Gastes oder der Kartendienst meldet. Diese Meldungen können Kartennummern und Gerätekennungen enthalten.
Personal	Anzeigename oder Kürzel · PIN im Klartext (Anlage 2 Ziffer 2) · Merkmal aktiv/inaktiv · Zeitpunkt der Anlage · Zeitpunkt der letzten Anmeldung · Zahl der gegebenen Stempel (berechnet)
Sitzungen	Sitzungskennung · Rolle (Gast, Personal, Leitung) · Zuordnung zu einer Karte oder einem Personal-Konto · Zeitpunkt
Zahlungsprotokoll	Kennungen der von Stripe zugestellten Meldungen und deren Verarbeitungsstand · eigene Ereignismeldungen mit Bestellnummer und Fehlertext (ohne Zahlungsdaten und ohne Schlüssel)
Technisch, flüchtig	IP-Adresse des Absenders — ausschließlich im Arbeitsspeicher für die Missbrauchsbremse bei Anmeldung, Kartenausgabe und Wallet-Protokoll. Sie wird für diesen Zweck nicht in die Datenbank geschrieben; der Eintrag verfällt nach Ablauf des Zeitfensters (Ziffer 8), spätestens beim Neustart des Dienstes. Davon zu unterscheiden: Bei der Zustimmung zum Nutzungsvertrag wird die IP-Adresse der zustimmenden Person dauerhaft in derselben Datenbank gespeichert; dafür ist der Auftragsverarbeiter selbst Verantwortlicher (Ziffer 5).
Systemprotokoll	Meldungen des Dienstes im Systemprotokoll des Servers (Anmeldungen, Stempel, Kartenausgabe, Wallet-Meldungen, Löschungen, Fehler). Sie können Kartennummern und Gerätekennungen enthalten.

Nicht verarbeitet werden:

besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO;
Zahlungskartendaten. Sie werden ausschließlich auf einer Seite von Stripe eingegeben und erreichen die Software zu keinem Zeitpunkt. Die Software übermittelt Stripe auch keine Gästedaten — weder Name noch E-Mail-Adresse;
Standortdaten von Gästen. Der Hinweis auf dem Sperrbildschirm entsteht ausschließlich durch einen Abgleich auf dem Gerät des Gastes. Übermittelt wird lediglich der Standort des Cafés — an Apple im Pass selbst, an Google in der Kartenvorlage. Der Standort des Gastes wird zu keinem Zeitpunkt an den Auftragsverarbeiter oder an Dritte übermittelt. Dieser Punkt ist wichtig: Er ist der Unterschied zwischen einer Stempelkarte und einer Standortüberwachung.

7. Ort der Verarbeitung

Rechenzentrum in Frankfurt am Main, Deutschland, betrieben vom Hoster nach Anlage 3 Nummer 1. Ausnahmen ausschließlich nach Anlage 3.

8. Eingerichtete Löschabläufe (gelten als angewiesen)

Diese Fristen sind im Programm hinterlegt und laufen ohne Zutun. Die Tabelle bildet den tatsächlichen Stand ab, nicht einen Wunschstand.

Daten	Löschung
Karte auf Wunsch des Gastes	sofort über die Selbstbedienung, im Umfang des § 7 Absatz 2 Buchstabe b — mit den Ausnahmen des § 7 Absatz 3
Anmelde-Sitzungen	nach 400 Tagen
Wallet-Protokoll	nach 14 Tagen
Verarbeitete Meldungen der Zahlungsschnittstelle	nach 30 Tagen. Meldungen, deren Verarbeitung abgebrochen ist und die deshalb noch nicht als erledigt gelten, bleiben bis zur Klärung erhalten
Eigenes Zahlungsprotokoll	nach 90 Tagen
Registrierung eines Geräts, das nicht mehr erreichbar ist	sobald der Benachrichtigungsdienst das meldet
Sicherungskopien	nach 30 Tagen
Sperreinträge der Missbrauchsbremse (mit IP-Adresse, nur im Arbeitsspeicher)	bei Boss- und Personal-Anmeldung 15 Minuten, gerechnet ab dem ersten Fehlversuch; weitere Fehlversuche verlängern die Frist nicht. Bei Kartenanmeldung, Kartenausgabe und Wallet-Protokoll 60 Minuten. Bei erfolgreicher Anmeldung sofort; spätestens beim Neustart des Dienstes
Systemprotokoll des Servers (enthält Kartennummern und Gerätekennungen)	keine Zeitgrenze gesetzt. Das Systemprotokoll wird nach Größe begrenzt, nicht nach Zeit.
Alles Übrige — Gästekarten, Stempel, Einlösungen, Gutscheine, Bestellungen, Aktionen, Widerrufe, Personal-Konten, Mail-Warteschlange, Apple-Geräteeinträge	keine automatische Frist

Was das für Sie bedeutet. Eine automatische Löschung inaktiver Gästekarten gibt es heute nicht. Wenn Sie eine Löschfrist wollen — etwa 24 Monate ohne Besuch —, weisen Sie sie uns in Textform an; wir führen sie dann aus und nehmen sie nach § 9 Absatz 1 in die nächste Fassung dieser Anlage auf. Für die Einhaltung des Grundsatzes der Speicherbegrenzung (Artikel 5 Absatz 1 Buchstabe e DSGVO) sind Sie verantwortlich. Bitte gleichen Sie diese Tabelle mit der Datenschutzerklärung ab, die Sie Ihren Gästen zeigen — siehe die Warnung in § 4 Absatz 2.

Anlage 2 — Technische und organisatorische Maßnahmen

Fassung 1.0 · Stand: 26.07.2026

Diese Anlage beschreibt den heutigen Stand. Sie ist bewusst zurückhaltend formuliert und enthält nur, was am Programmcode und an den Einrichtungsskripten belegt ist. Ziffer 9 nennt ausdrücklich, was nicht eingerichtet ist — damit Sie wissen, worauf Sie sich nicht verlassen dürfen.

1. Zutritt (physisch)

Die Server stehen in einem Rechenzentrum in Frankfurt am Main, betrieben vom Hoster nach Anlage 3 Nummer 1. Der Auftragsverarbeiter hat selbst keinen physischen Zutritt. Die Zutrittsmaßnahmen des Rechenzentrums ergeben sich aus den Angaben des Hosters und aus dem mit ihm geschlossenen Vertrag zur Auftragsverarbeitung; [Nachweis des Hosters beifügen].

2. Zugang (wer kommt überhaupt ins System)

Verwaltungszugang zum Server

Anmeldung ausschließlich über SSH mit Schlüsselpaar. Die Anmeldung mit Passwort ist abgeschaltet; das Einrichtungsprogramm prüft das nach der Umstellung und zeigt das Ergebnis an. Solange kein Schlüssel hinterlegt ist, unterbleibt die Umstellung ausdrücklich — sonst wäre der Zugang verloren.
Eine Firewall sperrt eingehend alles außer SSH, HTTP und HTTPS.
fail2ban sperrt Absender nach wiederholten Fehlversuchen.
Sicherheitsupdates des Betriebssystems werden automatisch eingespielt. Neustarts erfolgen von Hand, damit kein Café unbemerkt über Nacht ausfällt.
Der Anwendungsdienst selbst lauscht nur auf der lokalen Adresse des Servers. Von außen ist er ausschließlich über den vorgeschalteten Webserver erreichbar.

Zugänge des Cafés

Boss-Anmeldung mit einem Passwort je Café. Klarstellung: Dieses Passwort steht im Klartext in der Einrichtungsdatei des Cafés auf dem Server. Die Datei gehört dem Dienstbenutzer; ihr Ordner trägt die Rechte 750. Der Auftragsverarbeiter vergibt das Passwort, kennt es dauerhaft und kann sich damit als Leitung anmelden. Eine Änderung durch das Café ist nicht vorgesehen, ein „Passwort vergessen" gibt es nicht. Was daraus folgt, steht in § 2 Absatz 7 und § 4 Absatz 6 der Vereinbarung.
Personal-Anmeldung mit einer sechsstelligen PIN je Person. Klarstellung: Die PIN steht im Klartext in der Datenbank des Cafés und ist der Leitung im Boss-Bereich einsehbar. Das ist so gewollt, damit die Leitung eine vergessene PIN nachsehen kann. Was mit einer PIN möglich ist — vollständig: stempeln · Belohnungen und Gutscheine einlösen · ein Tresen-Abo setzen, verlängern und beenden · Gäste über Name, Kartennummer oder Handynummer suchen (Trefferliste mit Name, Kartennummer, Stempelstand, Besuchszahl, Anlagedatum und letztem Besuch, höchstens zwölf Treffer je Suche) · eine Karte über ihre Nummer nachschlagen · einen frischen Kartenzugang ausstellen · Online-Bestellungen annehmen, ablehnen und erstatten. Annehmen zieht den beim Gast reservierten Betrag ein, Erstatten gibt ihn zurück — beides bewegt echtes Geld auf dem Stripe-Konto des Cafés. Nicht möglich ist mit einer PIN: Einstellungen ändern, Aktionen an Gäste versenden, die vollständige Gästeliste mit Umsätzen und Gruppenzuordnungen einsehen, Personal-Konten verwalten, die Zahlungsverbindung ändern.
Versuchsbremse: fünf Fehlversuche je Absender innerhalb von 15 Minuten ab dem ersten Fehlversuch bei Boss- und Personal-Anmeldung. Bei der Kartenanmeldung eines Gastes fünf Versuche je Karte und zwanzig je Anschluss innerhalb von 60 Minuten — getrennt, damit ein Vertipper nicht das ganze Lokal aussperrt. Bei der Kartenausgabe 60 Karten je Anschluss und Stunde.
Sitzungen: Cookie mit den Merkmalen HttpOnly und SameSite=Lax, im Betrieb zusätzlich Secure. Wird ein Personal-Konto deaktiviert, gelöscht oder seine PIN geändert, ist die offene Sitzung sofort ungültig, nicht erst beim nächsten Anmelden. Klarstellung: Eine Sitzung endet nicht nach Zeit. Sie gilt, bis sie abgemeldet oder das Konto deaktiviert wird; der Aufräumlauf entfernt sie erst nach 400 Tagen.
Der persönliche Aufruf-Link eines Gastes wird nicht gespeichert. Er wird aus einem Servergeheimnis errechnet; gespeichert ist nur sein Prüfwert (SHA-256). Geht das Gerät eines Gastes verloren, kann das Personal den alten Link mit einem Klick ungültig machen; laufende Sitzungen dieses Gastes werden dabei beendet und der bequeme Weg über Nummer und Name gesperrt.
Dateirechte, genau: Die Wallet-Signaturschlüssel liegen in einem Ordner mit den Rechten 700, die Dateien darin mit 600. Das Servergeheimnis für die Kartenlinks liegt als Datei mit den Rechten 600 im Datenordner; dieser Ordner trägt die Rechte 750, nicht 700. Schlüsseldateien sind vom Programmcode getrennt und von der Auslieferung ausgeschlossen.

3. Zugriff (wer sieht was)

Jedes Café hat eine eigene Datenbankdatei, einen eigenen Systemdienst, einen eigenen Ordner und eine eigene Internetadresse. Mit den Funktionen der Software kann ein Café die Daten eines anderen nicht erreichen. Zur Grenze dieser Trennung siehe Ziffer 7 und Ziffer 9.
Rollentrennung: Gast, Personal, Leitung. Jeder Aufruf prüft die Rolle serverseitig; eine ausgeblendete Schaltfläche gilt nirgends als Sperre.
Der Dienst läuft unter einem Systembenutzer, der sich nicht anmelden kann, und mit eingeschränkten Rechten des Betriebssystems: keine Rechteerweiterung, eigenes temporäres Verzeichnis, schreibgeschütztes Dateisystem mit Ausnahme des eigenen Datenordners, kein Zugriff auf Heimatverzeichnisse, gesperrte Kernel-Einstellungen.
Wallet-Pässe werden im eigenen temporären Verzeichnis des Dienstes erzeugt und nach der Auslieferung wieder entfernt.
Zahlungsschnittstelle: Der gesamte Verkehr mit Stripe läuft durch eine einzige Stelle im Programm. Diese erzwingt drei Leitplanken: (a) jeder Aufruf, der ein Café betrifft, muss die Kontokennung des Cafés tragen — fehlt sie, bricht der Aufruf ab, statt still auf das Plattformkonto zu laufen; (b) die Felder transfer_data, on_behalf_of und destination sind gesperrt, auch verschachtelt; (c) die Pfade für Überweisungen und Auszahlungen sind gesperrt. Die Prüfung greift vor dem Netzaufruf. Folge: Das Geld Ihrer Gäste fließt nur direkt auf Ihr Konto.

4. Weitergabe

Sämtliche Verbindungen laufen verschlüsselt über HTTPS/TLS, erzwungen durch den vorgeschalteten Webserver, mit Strict-Transport-Security, X-Content-Type-Options: nosniff und einer Referrer-Regel.
Eingehende Meldungen der Zahlungsschnittstelle werden kryptografisch geprüft (HMAC-SHA256, zeitgleicher Vergleich) und nur innerhalb eines Zeitfensters von 300 Sekunden angenommen. Meldungen, die ein anderes Konto betreffen, werden verworfen.
Zahlungskartendaten erreichen das System zu keinem Zeitpunkt; es werden auch keine Gästedaten an die Zahlungsschnittstelle übermittelt.
Standortdaten von Gästen werden nicht übermittelt (Anlage 1 Ziffer 6).
Eine Übermittlung an Dritte findet nur an die in Anlage 3 genannten Stellen statt.

5. Eingabe und Nachvollziehbarkeit

Jeder Stempel wird mit Zeitpunkt und der Kennung des handelnden Personal-Kontos gespeichert.
Jede Meldung der Zahlungsschnittstelle wird mit ihrer Kennung gespeichert und zweistufig verarbeitet; eine zweite Zustellung derselben Meldung wird erkannt und nicht erneut ausgeführt.
Aufrufe an die Zahlungsschnittstelle tragen einen Wiederholschutz, damit ein Netzfehler keine zweite Zahlung erzeugt.
Einstellungen tragen den Zeitpunkt ihrer letzten Änderung. Wer sie geändert hat, wird nicht festgehalten.
Wer Gästedaten angesehen hat, wird nicht festgehalten (Ziffer 9).
Freitexte werden vor der Anzeige maskiert; die vom Server erzeugten Rechtstext-Seiten setzen die Angaben des Cafés ebenfalls maskiert ein.

6. Verfügbarkeit und Wiederherstellbarkeit

Tägliche automatische Sicherung der Datenbank jedes Cafés um 03:30 Uhr. Die Kopie wird mit einem Verfahren erzeugt, das auch während des Schreibbetriebs eine in sich stimmige Datei liefert.
Jede Sicherung wird auf Lesbarkeit geprüft. Eine beschädigte Sicherung wird verworfen, und der Lauf meldet einen Fehler — eine still fehlschlagende Sicherung ist gefährlicher als gar keine.
Aufbewahrung der Sicherungen: 30 Tage.
Klarstellung: Die Sicherungen liegen derzeit unverschlüsselt auf demselben Server wie die Daten, in einem Ordner mit den Rechten 750. Verschlüsselung und Auslagerung zu einem zweiten Anbieter sind im Sicherungsprogramm angelegt, aber noch nicht eingeschaltet; das Programm weist bei jedem Lauf darauf hin.
Klarstellung: Gesichert wird ausschließlich die Datenbankdatei. Die Wallet-Signaturschlüssel sind in keiner Sicherung enthalten.
Ein Wiederherstellungsprogramm liegt vor; es legt den vorhandenen Stand vor dem Überschreiben beiseite. Eine Wiederherstellung wurde bisher nicht erprobt.
Schlägt eine Sicherung fehl, wird das im Systemprotokoll des Servers vermerkt und der letzte Fehlerbericht abgelegt. Eine Benachrichtigung nach außen erfolgt nicht.
Die Dienste starten nach einem Neustart des Servers von selbst und werden nach einem Absturz automatisch neu gestartet; nach fünf Fehlversuchen in fünf Minuten wird aufgegeben, damit ein Dauerfehler sichtbar bleibt.
Abgelaufene Sitzungen und Protokolle werden stündlich aufgeräumt.

7. Trennung

Getrennte Datenbankdateien, getrennte Systemdienste, getrennte Ordner, getrennte Internetadressen und getrennte Schlüsseldateien je Café.

Klarstellung, zwei Einschränkungen:

Die Wallet-Signaturschlüssel und der Zugang zur Zahlungsschnittstelle sind plattformweit dieselben. Alle Cafés teilen sich eine Apple-Pass-Kennung samt Signaturschlüssel, einen Google-Herausgeber und einen Plattformschlüssel für Stripe. Es sind getrennte Dateien, aber derselbe Schlüssel — er identifiziert den Anbieter, nicht das einzelne Café. Damit sich Karten zweier Cafés auf einem Gerät nicht überschreiben, trägt jede Pass-Seriennummer den Café-Namen als Vorsatz.
Eine Trennung auf Betriebssystemebene besteht nicht (Ziffer 9).

8. Organisation

Der Auftragsverarbeiter ist Einzelunternehmer. Zugriff auf die Systeme hat ausschließlich er selbst. Jede weitere Person wird vor Aufnahme der Tätigkeit auf Vertraulichkeit verpflichtet.
Betriebsregel für Entwicklung, Wartung und Fehlersuche: Es werden keine personenbezogenen Echtdaten an Dritte übermittelt — insbesondere nicht an externe Programmier-, Analyse- oder Sprachmodell-Werkzeuge, gleich welcher Art. Verwendet werden ausschließlich Testdaten oder Auszüge ohne Personenbezug.
Betriebsregel für den E-Mail-Versand: Der Versand schaltet sich allein dadurch scharf, dass eine Zugangsdatei angelegt wird. Bevor diese Datei angelegt wird, sind Anlage 1 und Anlage 3 anzupassen und die Mitteilung nach § 5 Absatz 3 zu versenden.
Vor eingreifenden Änderungen am laufenden System wird eine Sicherung erstellt.
Ein Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 Absatz 2 DSGVO wird geführt.
Für die Meldung von Datenschutzverletzungen gilt das Verfahren nach § 3 Absatz 4 dieser Vereinbarung.
Datenschutz durch Voreinstellung: Die Stempelkarte funktioniert ohne Namen und ohne E-Mail-Adresse; zum Anlegen einer Karte genügt ein Tippen. Der Name ist freiwillig und als solcher gekennzeichnet. Der Online-Verkauf widerrufbarer Ware — der einzige Fall, der eine E-Mail-Adresse erfordert — ist in der Voreinstellung ausgeschaltet und lässt sich ohne eingerichteten Mailversand gar nicht einschalten. Die Empfehlungs- und die Teilen-Funktion sind in der Voreinstellung ausgeschaltet. Ohne vollständige Firmendaten, ohne Öffnungszeiten und ohne freigegebenes Zahlungskonto bleibt die Online-Bestellung aus.
Datensparsamkeit: Es werden nur die Daten erhoben, die die jeweilige Funktion braucht.

9. Was heute nicht eingerichtet ist

Diese Aufzählung gehört bewusst in den Vertrag. Sie sollen sich nicht auf etwas verlassen, das es nicht gibt.

Boss-Passwort und Personal-PIN werden im Klartext gehalten (Ziffer 2). Es gibt keine Änderung des Boss-Passworts durch das Café und kein „Passwort vergessen".
Keine Zwei-Faktor-Anmeldung für Leitung und Personal.
Kein Protokoll darüber, wer welche Gästedaten angesehen hat. Protokolliert werden Stempel und Anmeldungen, nicht Leseaufrufe. Deshalb die Anzeigepflicht in § 2 Absatz 7 Buchstabe b.
Kein Zugriffsprotokoll des Webservers. In der ausgelieferten Konfiguration werden aufgerufene Adressen und IP-Adressen nicht protokolliert.
Keine Verschlüsselung der Datenbank im Ruhezustand. Der Schutz beruht auf Dateirechten, Systembenutzertrennung und der Absicherung des Servers. [Angabe des Hosters zur Festplattenverschlüsselung ergänzen.]
Sicherungen unverschlüsselt und am selben Ort (Ziffer 6).
Die Wallet-Signaturschlüssel sind in keiner Sicherung enthalten (Ziffer 6).
Keine Trennung auf Betriebssystemebene. Alle Café-Dienste laufen unter demselben Systembenutzer; ein Dienst könnte die Datenbankdatei und die Einrichtungsdatei eines anderen Cafés lesen. Die Trennung wirkt heute über getrennte Dienste, Ordner, Datenbanken und Adressen, nicht über getrennte Betriebssystemkonten.
Keine automatische Löschung inaktiver Gästedaten (Anlage 1 Ziffer 8).
Keine zeitliche Begrenzung der Sitzungen und keine Zeitgrenze für das Systemprotokoll des Servers.
Kein Datenauszug zur Selbstbedienung für das Café; der Auszug wird von Hand erstellt (§ 8 Absatz 2).
Kein E-Mail-Versand. Es ist keine Zugangsdatei hinterlegt; erzeugte Nachrichten bleiben in der Warteschlange und verlassen den Server nicht.
Keine Überwachung von außen. Ein Ausfall wird nicht automatisch gemeldet.
Test- und Echtbetrieb sind derzeit nicht vollständig getrennt. Änderungen werden am laufenden System erprobt.

Anlage 3 — Unterauftragsverarbeiter

Fassung 1.0 · Stand: 26.07.2026

Nr.	Unternehmen	Leistung	Übermittelte oder zugängliche Daten	Ort
1	dataforest GmbH (Marke „Avoro"), [vollständige Anschrift, Registergericht und Registernummer ergänzen]	Betrieb des virtuellen Servers und des Rechenzentrums	Speicherort aller Daten nach Anlage 1. Ein Zugriff auf die Inhalte besteht technisch als Betreiber der Infrastruktur; die Datenbank ist im Ruhezustand nicht verschlüsselt (Anlage 2 Ziffer 9).	Frankfurt am Main, Deutschland
2	Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland	Benachrichtigungsdienst für Apple-Wallet-Karten (APNs) — stupst das Gerät an, damit es die Karte selbst abholt	Push-Kennung des Geräts · Kennung des Passtyps · die Kartennummer als Bündelungsmerkmal (damit mehrere schnelle Anstupser zu einem zusammenfallen). Der Nachrichtenkörper ist leer. Es werden keine Namen, keine Stempelstände und keine Aktionstexte übertragen.	Irland / EU
3	Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland	Bereitstellung und Aktualisierung der Karte in Google Wallet	Kartennummer (zugleich Kontokennung, Objektkennung und Inhalt des QR-Codes) · der freiwillig angegebene Name · Stempelstand und Ziel · Belohnungstext und Merkmal „einlösbar" · ein kurzer Standtext · Titel, Text und Laufzeit der Aktionen des Cafés · der persönliche Aufruf-Link der Karte · gegebenenfalls der Kartenlink des Cafés. In der Kartenvorlage zusätzlich: Name, Logo, Farbe und die Koordinaten des Cafés.	Irland / EU
4	[E-Mail-Versanddienst — noch nicht ausgewählt]	Versand von E-Mails an Gäste (Bestellbestätigung, Ablehnung, Widerrufsbestätigung)	E-Mail-Adresse · Betreff · Inhalt der Nachricht	[noch offen]

Hinweise

Zu Nummer 1. Der Vertrag zur Auftragsverarbeitung mit dem Hoster ist [Stand 26.07.2026: noch nicht geschlossen — Formular ausgefüllt, gegengezeichnete Fassung ausstehend]. Er wird dieser Anlage als Nachweis beigefügt.

Sperrvermerk für diese Fassung: Solange diese Klammer nicht durch das Datum des geschlossenen Vertrags ersetzt ist, darf Dokument B keinem Café zur Zustimmung vorgelegt werden. Artikel 28 Absatz 4 DSGVO verlangt, dass der Unterauftragsverarbeiter gebunden ist, bevor er Daten verarbeitet.

Zu Nummer 2. Der Anstupser enthält keine Inhalte. Das Gerät ruft die neue Karte anschließend direkt bei uns ab. Für den Betrieb der Wallet-Anwendung auf dem Gerät des Gastes kann Apple daneben als eigener Verantwortlicher handeln; darüber informiert Apple in eigenen Hinweisen.

Zu Nummer 3. Die Übermittlung findet nur statt, wenn der Gast die Karte selbst in Google Wallet ablegt. Er entscheidet darüber. Für den Betrieb der Wallet-Anwendung auf dem Gerät des Gastes kann Google zusätzlich als eigener Verantwortlicher handeln. Zwei Punkte für Ihre Datenschutzerklärung: (a) Zu den übermittelten Daten gehört auch der persönliche Aufruf-Link der Karte. (b) Stilllegen ist bei Google kein Löschen. Google bietet für Karten kein Löschen an; wir setzen die Karte auf „abgelaufen" und überschreiben Name, Links und Texte. Das Objekt bleibt mit der Kartennummer bei Google gespeichert.

Zu Nummer 4. Dieser Dienst ist noch nicht ausgewählt und nicht im Einsatz. Es ist keine Zugangsdatei hinterlegt; es wird keine E-Mail versendet. Nachrichten, die anfallen würden, bleiben in der Warteschlange der Software liegen und verlassen den Server nicht. Wir tragen hier bewusst keinen Namen ein, den wir später nicht einhalten: Vor der Inbetriebnahme erhalten Sie die Mitteilung nach § 5 Absatz 3 mit Firma, Anschrift, Ort der Verarbeitung und — falls es ein Drittland betrifft — der Grundlage der Übermittlung. Erst danach wird der Versand eingeschaltet.

Warum Stripe nicht in dieser Liste steht

Drei Gründe, jeder für sich tragend:

1. Vertragspartner sind Sie, nicht wir. Bei der hier verwendeten Kontoart eröffnen Sie ein eigenes Stripe-Konto und schließen Sie einen eigenen Vertrag mit Stripe. Stripe ist damit ein von Ihnen unmittelbar beauftragter Dienst — nicht ein von uns beauftragter Unterauftragsverarbeiter. Ein Unterauftragsverarbeiter ist definitionsgemäß jemand, den der Auftragsverarbeiter hinzuzieht.

2. Stripe ist weisungsfrei. Stripe ist ein beaufsichtigtes Zahlungsinstitut und erfüllt bei der Zahlungsabwicklung eigene gesetzliche Pflichten: Geldwäscheprävention, Zahlungsdiensteaufsicht, starke Kundenauthentifizierung, Vorgaben der Kartennetzwerke. Über diese Verarbeitungen kann Stripe niemand Weisungen erteilen — weder Sie noch wir. Wer Zwecke und Mittel selbst bestimmt, ist Verantwortlicher (Artikel 4 Nummer 7 DSGVO).

3. Der Datenfluss geht an uns vorbei. Zahlungskartendaten werden auf einer von Stripe betriebenen Seite eingegeben und erreichen die Software nicht. Die Software übermittelt Stripe keine Gästedaten; übergeben werden nur Positionen, Beträge und die Bestellnummer.

Folge: Stripe gehört in die Datenschutzerklärung, die Sie Ihren Gästen zeigen — dort ist auch die Übermittlung an Stripe, Inc. in den USA und deren Grundlage zu nennen. Eine gemeinsame Verantwortlichkeit nach Artikel 26 DSGVO besteht nicht, weil Zwecke und Mittel nicht gemeinsam festgelegt werden.

Ergänzender Hinweis zur Umsatzbeteiligung. Aus jeder Online-Zahlung erhält der Auftragsverarbeiter seine Umsatzbeteiligung nach dem Nutzungsvertrag. Gespeichert werden davon nur die Kennung des Vorgangs und der Betrag. Technisch empfängt der Auftragsverarbeiter als Plattformbetreiber die Zahlungsmeldungen Ihres Kontos und könnte darin die von Stripe erhobenen Zahlerdaten sehen; er wertet sie nicht aus und speichert sie nicht.

Hinweis zum Zeitpunkt der Beteiligung. Die Beteiligung wird ausschließlich einbehalten, solange Ihr Zugang den Zustand „bezahlt" hat. In den Zuständen „neu", „Probe", „pausiert" und „gesperrt" beträgt sie 0 %. Es gibt im Programm genau eine Stelle, an der das entschieden wird, und keinen zweiten Weg daran vorbei. Den geltenden Satz und den Grund, warum gerade nichts einbehalten wird, zeigt Ihnen der Boss-Bereich unter „Unsere Beteiligung".

Nutzungsbedingungen · Auftragsverarbeitung · Preise
Boss-Bereich