Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO wird geschlossen zwischen dem Unternehmen, das die Gainback-Plattform auf Grundlage der Allgemeinen Geschäftsbedingungen nutzt (nachfolgend „Auftraggeber“ oder „Verantwortlicher“), und

(nachfolgend „Auftragnehmer“ oder „Gainback“).

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch Gainback im Auftrag des Auftraggebers bei der Bereitstellung und dem Betrieb der Gainback-Plattform. Die Leistungen ergeben sich aus den Allgemeinen Geschäftsbedingungen und dem gewählten Paket (nachfolgend „Hauptvertrag“).

(2) Dieser Vertrag wird mit Abschluss des Hauptvertrages, also mit der Registrierung und der Annahme der AGB, Bestandteil des Vertragsverhältnisses. Einer gesonderten Unterschrift bedarf es nicht.

(3) Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages. Pflichten, die über das Vertragsende hinaus wirken, insbesondere zur Löschung, Rückgabe und Vertraulichkeit, bleiben bestehen.

(4) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Fragen des Datenschutzes die Regelungen dieses Vertrages vor.

(1) Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sind in Anlage 1 beschrieben.

(2) Die Verarbeitung findet grundsätzlich in Rechenzentren innerhalb der Europäischen Union statt. Eine Verarbeitung in einem Drittland erfolgt nur durch die in Anlage 3 genannten Unterauftragsverarbeiter und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(3) Gainback verarbeitet die Daten ausschließlich zur Erbringung der Leistungen aus dem Hauptvertrag. Eine Nutzung für eigene Zwecke, insbesondere für eigene Werbung oder zum Training von KI-Modellen, findet nicht statt. Zulässig bleibt die Auswertung anonymisierter oder aggregierter Daten, um Stabilität, Sicherheit und Qualität der Plattform zu verbessern.

(1) Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage und die Information seiner Kundinnen und Kunden nach Art. 13 und 14 DSGVO.

(2) Gainback stellt für die Programmseiten eine Datenschutzerklärung bereit, die den Auftraggeber als Verantwortlichen benennt. Der Auftraggeber prüft, ob diese seine Verarbeitung vollständig abdeckt, und ergänzt seine eigenen Informationen, soweit erforderlich.

(3) Bindet der Auftraggeber eigene Dienste an die Plattform an, schließt er mit diesem Anbieter selbst die erforderlichen Verträge. Gainback übermittelt die Daten in diesem Fall nur auf Weisung des Auftraggebers an dessen Dienst.

(4) Der Auftraggeber informiert Gainback unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(1) Gainback verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, Gainback ist durch das Recht der Union oder eines Mitgliedstaates zur Verarbeitung verpflichtet. In diesem Fall teilt Gainback dem Auftraggeber diese Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Gainback gewährleistet, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

(3) Gainback trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Die Maßnahmen unterliegen dem technischen Fortschritt. Gainback darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

(4) Gainback unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde.

(5) Ansprechpartner für den Datenschutz bei Gainback ist Lorenz Wolf, erreichbar unter lorenz@gainback.app.

(1) Die Weisungen des Auftraggebers ergeben sich aus dem Hauptvertrag, diesem Vertrag und der Konfiguration, die der Auftraggeber in der Plattform vornimmt, etwa der Einrichtung von Programmen, Prämien, Automationen und Benachrichtigungen. Darüber hinausgehende Weisungen erteilt der Auftraggeber in Textform.

(2) Ist Gainback der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist Gainback den Auftraggeber unverzüglich darauf hin. Gainback darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(3) Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Änderungswunsch behandelt. Gainback kann für deren Umsetzung eine angemessene Vergütung verlangen.

(1) Der Auftraggeber erteilt Gainback die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

(2) Gainback informiert den Auftraggeber mindestens 30 Tage vorab in Textform, etwa per E-Mail an die Adresse des Kontoinhabers, über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, ist der Auftraggeber berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen.

(3) Gainback verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrages entsprechen. Gainback haftet gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

(4) Sitzt ein Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums oder greift er von dort auf Daten zu, stellt Gainback ein angemessenes Datenschutzniveau sicher, insbesondere durch einen Angemessenheitsbeschluss wie das EU-US Data Privacy Framework oder durch Standardvertragsklauseln der Europäischen Kommission.

(5) Keine Unterauftragsverhältnisse im Sinne dieser Regelung sind Nebenleistungen, die Gainback bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf personenbezogene Daten des Auftraggebers erhalten, etwa Telekommunikationsleistungen.

(1) Gainback unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO, insbesondere auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit.

(2) Wendet sich eine betroffene Person direkt an Gainback, leitet Gainback das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, es sei denn, der Auftraggeber weist dies an.

(3) Soweit der Auftraggeber einen Antrag nicht selbst über die Funktionen der Plattform erfüllen kann, führt Gainback die erforderliche Auskunft, Berichtigung oder Löschung auf Weisung des Auftraggebers innerhalb angemessener Frist durch, sodass der Auftraggeber die Frist des Art. 12 Abs. 3 DSGVO einhalten kann.

(1) Gainback meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem Gainback davon Kenntnis erlangt hat.

(2) Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Maßnahmen. Informationen, die noch nicht vorliegen, reicht Gainback unverzüglich nach.

(3) Gainback unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen nimmt der Auftraggeber vor.

(1) Gainback stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen und Nachweise der Unterauftragsverarbeiter.

(2) Reichen diese Unterlagen im Einzelfall nicht aus, kann der Auftraggeber Überprüfungen einschließlich Inspektionen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Überprüfungen sind mindestens 14 Tage vorher anzukündigen, finden zu den üblichen Geschäftszeiten statt, stören den Betrieb nicht unverhältnismäßig und erfolgen in der Regel höchstens einmal pro Kalenderjahr, außer bei konkretem Anlass.

(3) Die Kosten einer Überprüfung trägt der Auftraggeber, sofern sie nicht einen Verstoß von Gainback gegen diesen Vertrag aufdeckt.

(1) Nach Ende des Hauptvertrages löscht Gainback alle personenbezogenen Daten, die im Auftrag des Auftraggebers verarbeitet wurden, innerhalb von 30 Tagen, sofern nicht eine gesetzliche Pflicht zur Aufbewahrung besteht.

(2) Bis zum Vertragsende kann der Auftraggeber einen Export seiner Kundendaten in einem gängigen, maschinenlesbaren Format verlangen.

(3) Daten in Sicherungskopien werden im Rahmen der regulären Rotation der Sicherungen überschrieben. Bis dahin sind sie von der weiteren Verarbeitung ausgeschlossen.

(4) Gainback bestätigt die Löschung auf Verlangen in Textform.

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis gelten im Übrigen die Haftungsregelungen des Hauptvertrages, soweit gesetzlich zulässig.

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Gainback kann diesen Vertrag ändern, soweit dies aufgrund gesetzlicher Änderungen, behördlicher Vorgaben oder einer Weiterentwicklung der Plattform erforderlich ist und das Schutzniveau nicht sinkt. Änderungen der Anlage 3 richten sich nach § 6.

(2) Sollte eine Bestimmung dieses Vertrages unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz von Gainback.

Art und Zweck der Verarbeitung

• Betrieb digitaler Kundenkarten in Apple Wallet und Google Wallet (Wallet Card), einschließlich Anmeldung, Sammelfortschritt, Punkten, Guthaben, Statusstufen, Prämien, Gutscheinen und deren Einlösung
• Betrieb von Story-Kampagnen (Social Media auf Autopilot): Erfassung des Instagram-Benutzernamens, Abruf öffentlich sichtbarer Profil- und Story-Informationen, automatisierte Prüfung des Story-Bildes, manuelle Prüfung durch den Auftraggeber und Freigabe der Prämie
• Check-in vor Ort, Scan durch Mitarbeitende des Auftraggebers und Selbst-Check-in
• Bereitstellung der Vorteilsseite des Auftraggebers für seine Kundinnen und Kunden
• Versand von Benachrichtigungen im Namen des Auftraggebers per E-Mail und Wallet-Mitteilung
• Automationen, die der Auftraggeber einrichtet, etwa Geburtstags- und Rückgewinnungsnachrichten
• Kundenverwaltung und Auswertungen für den Auftraggeber, einschließlich Notizen und Kennzeichnungen durch seine Mitarbeitenden
• Hosting, Speicherung, Datensicherung, Fehleranalyse und Missbrauchsabwehr

Art der personenbezogenen Daten

• Stammdaten: Name, E-Mail-Adresse, Telefonnummer (freiwillig), Geburtsdatum (freiwillig, sofern vom Auftraggeber aktiviert), Sprache
• Social-Media-Daten: Instagram-Benutzername, öffentlich sichtbare Profilangaben (angezeigter Name, Followerzahl, Profilbild, Kontotyp), Story-Bilder und hochgeladene Screenshots, Ergebnis der automatisierten und manuellen Prüfung
• Programmdaten: Sammelfortschritt, Punkte, Guthaben, Statusstufe, Buchungen und Korrekturen, Prämien, Gutscheine und Einlösungen jeweils mit Zeitpunkt, Einladungsbeziehungen zwischen Kundinnen und Kunden
• Daten, die der Auftraggeber selbst erfasst: Notizen, Kennzeichnungen, Begründungen von Korrekturen und Ablehnungen
• Kommunikationsdaten: Inhalt und Zeitpunkt versendeter Nachrichten und Wallet-Mitteilungen
• Bestätigungs- und Einwilligungsdaten: Zeitpunkt der Annahme von Datenschutzerklärung und Nutzungsbedingungen, Einwilligungsstatus
• Technische Daten: Gerätekennungen und Push-Tokens der Wallet-Karten, IP-Adressen, Browser- und Geräteinformationen, Nutzungsereignisse auf den Programmseiten
• Kennungen von Mitarbeitenden des Auftraggebers, soweit sie Buchungen, Einlösungen und Prüfungen vornehmen

Kategorien betroffener Personen

• Kundinnen und Kunden sowie Interessentinnen und Interessenten des Auftraggebers, die an seinen Programmen teilnehmen
• Personen, die auf Story-Bildern oder Screenshots zu sehen sind
• Mitarbeitende des Auftraggebers, soweit ihre Handlungen in der Plattform erfasst werden

Dauer der Verarbeitung

Für die Laufzeit des Hauptvertrages. Innerhalb der Laufzeit bestimmt der Auftraggeber, wie lange Daten gespeichert werden, und kann ihre Löschung anweisen.

Vertraulichkeit

• Zutrittskontrolle: Gainback betreibt keine eigenen Server. Die Plattform läuft in Rechenzentren der in Anlage 3 genannten Anbieter, deren physische Sicherheit durch anerkannte Zertifizierungen (etwa ISO 27001 oder SOC 2) nachgewiesen ist.
• Zugangskontrolle: Anmeldung von Geschäftskonten über Einmal-Codes per E-Mail oder Google-Anmeldung, keine Passwörter. Mitarbeitende des Auftraggebers melden sich an Scan-Geräten mit einer persönlichen PIN an, die nur als bcrypt-Hash gespeichert und nach wiederholten Fehlversuchen gesperrt wird.
• Zugriffskontrolle: Rollen mit abgestuften Rechten (Betrachter, Bearbeiter, Admin, Inhaber) je Standort. Kundinnen und Kunden erhalten kein Konto, sondern signierte, programmgebundene Zugangsnachweise.
• Trennungskontrolle: Mandantentrennung über die Organisations- und Standortkennung in jeder Abfrage, zusätzlich Row Level Security in der Datenbank. Entwicklungs- und Testumgebungen nutzen eigene Datenbanken, getrennt von der Produktion.
• Pseudonymisierung: Nutzungsauswertungen und Wallet-Karten verwenden zufällige Kennungen statt Namen oder E-Mail-Adressen. Auf den Wallet-Karten selbst stehen weder Name noch E-Mail-Adresse.

Integrität

• Weitergabekontrolle: Übertragungen ausschließlich verschlüsselt über HTTPS (TLS). Zugangsschlüssel zu Diensten des Auftraggebers werden mit AES-256-GCM verschlüsselt gespeichert.
• Eingabekontrolle: Buchungen, Korrekturen, Einlösungen und Prüfentscheidungen werden mit Zeitpunkt und handelnder Mitarbeiterkennung gespeichert. Korrekturen erfolgen als Gegenbuchung, ursprüngliche Einträge bleiben erhalten.
• Signierte Zugangsnachweise und Prüfcodes, deren Manipulation erkannt und abgewiesen wird.

Verfügbarkeit und Belastbarkeit

• Hosting und Datenbank in der Region Frankfurt am Main mit Verschlüsselung der gespeicherten Daten durch den Anbieter.
• Automatisierte Sicherungen der Datenbank durch den Datenbankanbieter.
• Skalierende Infrastruktur und Schutz gegen Überlastungsangriffe durch den Hosting-Anbieter.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Prüfung jeder Codeänderung auf bekannte Schwachstellen in Abhängigkeiten, auf versehentlich eingecheckte Zugangsdaten und durch statische Codeanalyse.
• Automatisierte Tests vor jeder Auslieferung, Überprüfung neuer Funktionen in einer getrennten Testumgebung vor der Freigabe für die Produktion.
• Regelmäßige interne Sicherheitsüberprüfungen der Plattform.
• Verpflichtung aller Personen mit Zugang zu personenbezogenen Daten auf Vertraulichkeit.

Folgende Unterauftragsverarbeiter gelten mit Vertragsschluss als genehmigt:

• Supabase Inc., USA: Datenbank, Dateispeicher und Anmeldung der Geschäftskonten. Verarbeitungsort Frankfurt am Main (EU). Grundlage für etwaige Zugriffe aus Drittländern: Standardvertragsklauseln.
• Vercel Inc., USA: Hosting, Ausführung der Anwendung, Protokolle und Reichweitenmessung. Verarbeitungsort Frankfurt am Main (EU), Auslieferung über ein weltweites Netz. Grundlage: EU-US Data Privacy Framework und Standardvertragsklauseln.
• PostHog Inc., USA: Nutzungsanalyse und Fehleranalyse. Verarbeitungsort EU (Frankfurt am Main). Grundlage für etwaige Zugriffe aus Drittländern: Standardvertragsklauseln.
• Plus Five Five, Inc. (Resend), USA: Versand von E-Mails. Grundlage: Standardvertragsklauseln.
• Anthropic PBC, USA: automatisierte Prüfung von Story-Bildern und Übersetzung von Programmtexten. Die Inhalte werden nicht zum Training von KI-Modellen verwendet. Grundlage: Standardvertragsklauseln.
• HikerAPI (hikerapi.com): Abruf öffentlich sichtbarer Instagram-Profil- und Story-Informationen anhand des Benutzernamens. Grundlage: Standardvertragsklauseln.
• Apple Inc., USA: Ausstellung und Aktualisierung von Karten in Apple Wallet. Grundlage: EU-US Data Privacy Framework.
• Google Ireland Limited, Irland, und Google LLC, USA: Ausstellung und Aktualisierung von Karten in Google Wallet. Grundlage: EU-US Data Privacy Framework.