DE EN
Kostenlos testen

Auftragsverarbeitungsvertrag (AVV)

Stand: 1. Juni 2026 · Version: 2026-06-01

Dieser Auftragsverarbeitungsvertrag ("AVV") ist Bestandteil der Gast Nutzungsbedingungen und regelt die Verarbeitung personenbezogener Daten durch Gast (BetterVue, Oliver Birringer, Sobieskigasse 25/24, 1090 Wien, Österreich; "Auftragsverarbeiter") im Auftrag des registrierten Unternehmens ("Verantwortlicher") im Zusammenhang mit der Gast-Plattform. Mit Annahme der Nutzungsbedingungen akzeptiert der Verantwortliche auch diesen AVV.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zum Zweck der Bereitstellung der Gast-Plattform (Wallet-basierte Treueprogramme für Gastronomie- und Einzelhandelsbetriebe). Dieser AVV gilt für die gesamte Dauer der Nutzung der Gast-Plattform durch den Verantwortlichen.

2. Art und Zweck der Verarbeitung

  • Betrieb digitaler Treueprogramme (Stempelkarten und Punktekarten)
  • Ausstellung und Aktualisierung von Wallet-Pässen (Apple Wallet, Google Wallet)
  • Erfassung von Treuevorgängen (Stempel, Punkte, Einlösungen)
  • Versand transaktionaler und — mit Einwilligung der Gäste — werblicher Push-Nachrichten
  • Bereitstellung von Statistiken und Verwaltungstools für den Verantwortlichen
  • Bearbeitung von Betroffenenrechten (Auskunft, Löschung) im Namen des Verantwortlichen

3. Kategorien betroffener Personen

  • Gäste des Verantwortlichen, die sich für ein Treueprogramm anmelden
  • Mitarbeiter des Verantwortlichen, die den Scanner oder die Verwaltungsoberfläche nutzen

4. Kategorien personenbezogener Daten

  • Gäste: Pass-Kennung, Wallet-Plattform, optionaler Vorname, optionale E-Mail, Einwilligungsflags und Zeitstempel, Punktestand, Scan-Historie (Zeit, Standort, Mitarbeiter), Wallet-Gerätekennungen und Push-Tokens.
  • Mitarbeiter: E-Mail, Name, Rolle, Standortzuweisung, Scan-Aktivität, Audit-Log-Einträge.

5. Pflichten des Verantwortlichen

Der Verantwortliche:

  • bestimmt im Rahmen der Gast-Plattform Zweck und Mittel der Verarbeitung;
  • holt alle erforderlichen Einwilligungen der Gäste ein (Art. 6, 7 DSGVO), insbesondere für werbliche Push-Nachrichten und allfällige zukünftige Standort-/Geofencing-Funktionen;
  • informiert die Gäste gemäß Art. 13 DSGVO über die Datenverarbeitung (eigene Datenschutz- erklärung oder Verweis auf die Gast-Datenschutzerklärung);
  • ist verantwortlich für die Rechtmäßigkeit aller auf die Gast-Plattform hochgeladenen Daten (Logos, Hero-Bilder, Kampagneninhalte);
  • beantwortet Betroffenenanfragen, die direkt an ihn gerichtet werden, fristgerecht;
  • informiert den Auftragsverarbeiter unverzüglich über etwaige datenschutzrechtliche Vorfälle, die die Verarbeitung durch den Auftragsverarbeiter betreffen.

6. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter:

  • verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (die Annahme dieser Nutzungsbedingungen und die Nutzung der Plattform stellen für den vereinbarten Umfang solche Weisungen dar);
  • stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind;
  • implementiert geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO) — siehe § 11 und Anhang I;
  • unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung von Betroffenenrechten (Art. 12-22 DSGVO) — einschließlich des DSGVO- Anfrageformulars, der In-Pass-Links für Datenexport und Löschung sowie der Export- und Löschworker, die in der Gast-Dokumentation beschrieben sind;
  • unterstützt den Verantwortlichen bei der Einhaltung von Art. 32-36 DSGVO (Sicherheit, Meldung von Verletzungen, Folgenabschätzungen, vorherige Konsultation);
  • löscht oder gibt nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Beendigung der Bereitstellung der Leistungen zurück (siehe § 14);
  • stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Heranziehung von Unterauftragsverarbeitern. Die aktuelle Liste der Unterauftragsverarbeiter ist in der Datenschutzerklärung veröffentlicht. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzufügen oder Ersetzen von Unterauftragsverarbeitern) mindestens 30 Tage im Voraus. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichen Grund widersprechen; in diesem Fall suchen die Parteien gemeinsam nach einer Lösung. Kommt keine zustande, kann der Verantwortliche diesen AVV und den zugrundeliegenden Vertrag kündigen.

Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem AVV gleichwertige Datenschutzpflichten auferlegt, insbesondere ausreichende Garantien hinsichtlich geeigneter technischer und organisatorischer Maßnahmen gemäß Art. 28(3) und Art. 32 DSGVO.

8. Übermittlungen in Drittländer

Die primäre Verarbeitung erfolgt in der Europäischen Union (Google Cloud Platform Region europe-west3, Frankfurt). Einige Unterauftragsverarbeiter (Apple, Google, Firebase) können Daten in den USA oder anderen Drittländern verarbeiten. Solche Übermittlungen erfolgen auf Grundlage von Angemessenheitsbeschlüssen, sofern vorhanden (EU-US Data Privacy Framework), andernfalls auf Basis der EU-Standardvertragsklauseln (Modul 3 — Auftragsverarbeiter zu Unterauftragsverarbeiter) zusammen mit geeigneten ergänzenden Maßnahmen.

9. Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen, die ihre Rechte gemäß Kapitel III DSGVO ausüben. Insbesondere:

  • stellt er ein öffentliches DSGVO-Anfrageformular bereit: mygast.com/de/gdpr-request;
  • integriert er Links "Meine Daten herunterladen" und "Meine Daten löschen" in jeden Wallet-Pass;
  • bearbeitet er bestätigte Exportanfragen innerhalb der gesetzlichen Frist (Art. 12(3): 30 Tage, um zwei Monate für komplexe Anfragen verlängerbar) durch Generierung eines signierten Daten-Downloads;
  • bearbeitet er bestätigte Löschanfragen durch Entfernen oder Anonymisieren aller verknüpften personenbezogenen Daten, Ungültigerklärung des Wallet-Passes und Benachrichtigung von Apple/Google zur Entfernung des Passes vom Endgerät;
  • leitet er Anfragen, die die Einbindung des Verantwortlichen erfordern (z. B. kontextspezifische Fragen, Beschwerden), an den zuständigen Verantwortlichen weiter.

10. Verletzung des Schutzes personenbezogener Daten

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, jedenfalls innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft. Die Meldung enthält, soweit bekannt, die in Art. 33(3) DSGVO geforderten Informationen. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde und betroffenen Personen.

11. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter implementiert mindestens die folgenden Maßnahmen (aktueller Stand — kann aktualisiert werden, sofern das Schutzniveau nicht reduziert wird):

  • Vertraulichkeit: rollenbasierte Zugriffskontrollen; Mehrfaktor-Authentifizierung über Firebase für Mitarbeiter mit erweiterten Berechtigungen; Verschlüsselung in Übertragung (TLS 1.2+); Verschlüsselung im Ruhezustand für die Produktionsdatenbank (GCP Cloud SQL Standardverschlüsselung); Trennung von Produktions- und Entwicklungsumgebungen.
  • Integrität: Code-Review für alle Produktionsänderungen; Audit-Logs für administrative Aktionen; Datenbank-Backups mit Point-in-Time-Recovery (GCP Cloud SQL).
  • Verfügbarkeit: regelmäßige Sicherungen; verwaltete Cloud-Infrastruktur (Cloud Run, Cloud SQL) mit dokumentierter Redundanz; grundlegendes Monitoring und Alarmierung.
  • Belastbarkeit: zustandslose Anwendungsdienste mit automatischer Neubereitstellung; unveränderliche Container-Images.
  • Verfahren: dokumentiertes Incident-Response-Verfahren; regelmäßige Überprüfung der Zugriffsrechte; Secrets in GCP Secret Manager, nicht im Quellcode; Auswahl von Unterauftragsverarbeitern auf Grundlage dokumentierter Compliance.
  • Datenminimierung: von Gästen werden nur Vorname und optional E-Mail erhoben; keine Zahlungsdaten werden verarbeitet; keine besonderen Datenkategorien im Sinne von Art. 9 DSGVO werden standardmäßig verarbeitet.

Eine aktuelle Erklärung zu den technischen und organisatorischen Maßnahmen ist auf Anfrage erhältlich.

12. Verzeichnis der Verarbeitungstätigkeiten

Der Auftragsverarbeiter führt ein Verzeichnis aller im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten gemäß Art. 30(2) DSGVO. Das Verzeichnis wird dem Verantwortlichen und auf Verlangen den Aufsichtsbehörden zur Verfügung gestellt.

13. Kontrollrechte

Der Verantwortliche hat das Recht, die Einhaltung dieses AVV durch den Auftragsverarbeiter zu überprüfen — wahlweise durch schriftliche Dokumentation, durch Vor-Ort-Kontrolle in Abstimmung mit dem Auftragsverarbeiter (nicht mehr als einmal pro Kalenderjahr, außer im Verdachtsfall) oder durch Vorlage von Berichten unabhängiger Dritter (z. B. ISO 27001 sofern vorhanden). Die Kosten der Überprüfung trägt der Verantwortliche, es sei denn, die Überprüfung deckt eine wesentliche Vertragsverletzung durch den Auftragsverarbeiter auf.

14. Löschung oder Rückgabe der Daten

Nach Beendigung des Vertrags gibt der Auftragsverarbeiter — nach Wahl des Verantwortlichen — alle für den Verantwortlichen verarbeiteten personenbezogenen Daten zurück oder löscht sie, sofern nicht eine Aufbewahrungspflicht nach Unionsrecht oder dem Recht der Mitgliedstaaten besteht. Standardmäßig löscht der Auftragsverarbeiter die Daten innerhalb von 90 Tagen nach Vertragsende. Bereits an Gäste ausgegebene Wallet-Pässe werden ungültig erklärt und bei der nächsten Aktualisierung von den Geräten entfernt; der Verantwortliche ist dafür verantwortlich, seine Gäste über das Ende des Treueprogramms zu informieren.

15. Haftung

Die Haftung unter diesem AVV richtet sich nach den Haftungsbestimmungen der zugrundeliegenden Nutzungsbedingungen. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

16. Laufzeit und Beendigung

Dieser AVV gilt für die gesamte Dauer der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen. Er endet automatisch mit Beendigung des zugrundeliegenden Vertrags. Bestimmungen, die ihrem Sinn nach fortgelten sollen (insbesondere § 14), bleiben in Kraft.

17. Rechtswahl und Gerichtsstand

Es gilt österreichisches Recht unter Ausschluss des UN-Kaufrechts und kollisionsrechtlicher Verweisungsnormen. Ausschließlicher Gerichtsstand ist — soweit gesetzlich zulässig — das Handelsgericht Wien.

18. Schlussbestimmungen

Im Fall von Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen oder anderen Vereinbarungen zwischen den Parteien hat dieser AVV in datenschutzrechtlichen Belangen Vorrang. Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Bei Fragen zum Datenschutz: privacy@mygast.com.