Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (AVV)

Anlage 1 zu den Allgemeinen Geschäftsbedingungen von stemp · Fassung vom 22.10.2026

Partei	Angaben
Auftragsverarbeiter	GYP Media UG (haftungsbeschränkt), Kolonnenstraße 8, 10827 Berlin, Amtsgericht Charlottenburg, HRB 255491, Geschäftsführer: Niklas Krüger, Kontakt: hallo@stemp.app (im Folgenden „stemp“ oder „Auftragnehmer“)
Auftraggeber	Der Kunde, der mit stemp den Nutzungsvertrag für eine Organisation geschlossen hat, mit den Angaben aus seinem stemp-Konto

§ 1 Gegenstand und Dauer

1.1 Hauptvertrag. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch stemp als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO im Auftrag des Auftraggebers. Grundlage ist der zwischen den Parteien geschlossene Nutzungsvertrag für die Plattform stemp (stemp.app) zur Verwaltung digitaler Treueprogramme (im Folgenden „Hauptvertrag“). Der Hauptvertrag besteht aus den Allgemeinen Geschäftsbedingungen von stemp (AGB) mit Leistungsbeschreibung und Preisliste. Dieser AVV ist Anlage 1 der AGB und Bestandteil des Hauptvertrags.

1.2 Abschluss und Laufzeit. Dieser AVV wird zusammen mit dem Hauptvertrag elektronisch geschlossen, indem der Auftraggeber den AGB mit diesem AVV zustimmt (Art. 28 Abs. 9 DSGVO). Er endet mit dem Hauptvertrag. Die Pflichten nach § 4.5 gelten darüber hinaus. Auf Wunsch bestätigt stemp den Abschluss mit Datum in Textform.

1.3 Vorrang. Im Fall von Widersprüchen zwischen diesem AVV und dem Hauptvertrag hat dieser AVV in Bezug auf datenschutzrechtliche Pflichten Vorrang. Für die Haftung gilt § 9.

§ 2 Art, Zweck und Umfang der Verarbeitung

2.1 Art der Daten. stemp verarbeitet im Auftrag des Auftraggebers folgende Kategorien personenbezogener Daten:

Stammdaten der Endkunden: Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum und weitere Felder, soweit der Auftraggeber sie einrichtet
Verhaltens- und Transaktionsdaten: Stempelvorgänge mit Zeitpunkt, Standort des Betriebs und dem Teammitglied, das gestempelt hat. Übermittelt eine Anwendung des Auftraggebers beim Stempeln über die API Koordinaten, speichert stemp auch diese; Anzahl gesammelter und eingelöster Stempel und Prämien
Merkmale zur Einordnung der Endkunden (Tags), auch automatisch gebildete (§ 2.3)
Einwilligungen der Endkunden (Datenschutzhinweise, Werbung) mit Zeitpunkt
Herkunft der Registrierung: verweisende Seite, Kampagnen-Parameter, Sprache des Browsers, dazu Ort und Gerät, soweit der Auftraggeber das einstellt
Geräte- und technische Daten: Status der Wallet-Karte, Kennung des Geräts für Benachrichtigungen, Browserinformationen. Die IP-Adresse wird beim Aufruf der Registrierungsseite verarbeitet. Zum Endkunden speichert stemp sie nicht. Im Server-Protokoll kann sie bis zu 30 Tage stehen, in der Kopie bei Datadog 15 Tage (§ 4.5 (f)).
Kommunikationsdaten: Inhalte und Zeitpunkte von Benachrichtigungen über Wallet-Karten und von E-Mails an Endkunden, bei E-Mails auch Zustellung, Öffnen und Klicken mit IP-Adresse und Browser; E-Mails, auch Werbe-E-Mails, die vom Auftraggeber aktivierte Apps über stemp senden

2.2 Kategorien betroffener Personen. Betroffen sind die Endkunden des Auftraggebers, die sich über eine Registrierungsseite von stemp registrieren oder deren Kontaktdaten der Auftraggeber in die Plattform einpflegt oder importiert. Betroffen sind außerdem die Teammitglieder des Auftraggebers, soweit ihre Daten in der Historie der Stempelvorgänge stehen.

2.3 Verarbeitungszwecke. Die Verarbeitung erfolgt ausschließlich zu folgenden Zwecken:

Erstellung, Verwaltung und Aktualisierung digitaler Stempelkarten (Apple Wallet, Google Wallet)
Versand von Benachrichtigungen über Wallet-Karten im Auftrag des Auftraggebers, auch durch Automationen, die der Auftraggeber einschaltet
Versand von E-Mails im Namen des Auftraggebers über stemp.email oder über ein E-Mail-Konto, das der Auftraggeber verbindet
Verwaltung von Kundenprofilen und Daten des Treueprogramms
Automatische Einordnung von Endkunden in Gruppen (Tags) nach Standard-Regeln von stemp und nach Regeln des Auftraggebers, zum Beispiel „seit 30 Tagen nicht da“ oder „Stammkunde“. Die Einordnung ist Profiling im Sinne von Art. 4 Nr. 4 DSGVO. Sie dient der Steuerung von Automationen und der Auswertung für den Auftraggeber. Die Standard-Regeln sind für jede Organisation von Anfang an eingeschaltet. Der Auftraggeber kann jede Regel abschalten.
Import und Synchronisation von Kontaktdaten aus Drittdiensten (zum Beispiel Mailchimp) auf Weisung des Auftraggebers
Bereitstellung von Analyse- und Reporting-Funktionen für den Auftraggeber

Eine Verarbeitung zu eigenen Zwecken von stemp oder eine Weitergabe an Dritte zu anderen als den hier genannten Zwecken erfolgt nicht. Ausgenommen ist die Anonymisierung zur Bildung zusammengefasster Kennzahlen nach § 19 der AGB. Dafür ist stemp selbst Verantwortlicher (Art. 28 Abs. 10 DSGVO), auf Grundlage seines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO).

§ 3 Weisungsrecht des Auftraggebers

stemp verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO), sofern nicht eine rechtliche Verpflichtung eine anderweitige Verarbeitung erfordert. In letzterem Fall informiert stemp den Auftraggeber vor der Verarbeitung, sofern dies rechtlich zulässig ist.

Weisungen können in Textform (E-Mail genügt) oder über die Funktionen der Plattform erteilt werden. Als dokumentierte Weisung gilt jede Nutzung von Funktionen im Dashboard, in der App, über die Programmierschnittstelle (API) oder über aktivierte Apps Dritter, insbesondere der Import von Kontakten (zum Beispiel per CSV oder aus Mailchimp) und das Einschalten von Automationen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

Hält stemp eine Weisung für rechtswidrig, ist stemp berechtigt und verpflichtet, die Ausführung zu verweigern und den Auftraggeber unverzüglich zu informieren.

§ 4 Pflichten von stemp

4.1 Vertraulichkeit und Zugriff durch den Support. Bei stemp hat nur der Geschäftsführer Zugriff auf personenbezogene Daten. Weitere Personen erhalten Zugriff erst nach schriftlicher Verpflichtung zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO). Wer bei stemp Administrator-Rechte hat, kann sich im Konto des Auftraggebers anmelden, um Support zu leisten oder Störungen zu beheben. Das geschieht nur auf Anfrage des Auftraggebers oder wenn es zur Behebung einer Störung nötig ist. Jeder solche Zugriff wird im Server-Protokoll mit Person und Zeitpunkt festgehalten. Das Server-Protokoll wird 30 Tage aufbewahrt, eine Kopie bei Datadog 15 Tage. Wartungszugriffe auf die Produktionsumgebung werden mitgeschnitten. Die Mitschnitte von Wartungszugriffen werden 365 Tage aufbewahrt.

4.2 Technische und organisatorische Maßnahmen (Art. 32 DSGVO). stemp trifft angemessene technische und organisatorische Maßnahmen zum Schutz der verarbeiteten Daten. Die aktuell geltenden Maßnahmen sind in Anlage A zu diesem Vertrag dokumentiert. stemp ist berechtigt, diese Maßnahmen anzupassen, sofern das Schutzniveau nicht unterschritten wird.

4.3 Unterstützungspflichten. stemp unterstützt den Auftraggeber soweit möglich bei der Erfüllung folgender Pflichten (Art. 28 Abs. 3 lit. e und f DSGVO):

Beantwortung von Anfragen betroffener Personen (Art. 15 bis 22 DSGVO)
Maßnahmen gemäß Art. 32 bis 36 DSGVO (Datensicherheit, Datenschutzverletzungen, Datenschutz-Folgenabschätzung)

stemp antwortet auf entsprechende Anfragen des Auftraggebers unverzüglich, spätestens jedoch innerhalb von fünf Werktagen nach Eingang der Anfrage. Kann der Auftraggeber nach dem Ende der Testphase oder seines Tarifs eine Organisation oder einen Endkunden nicht selbst löschen, löscht stemp auf Anfrage an hallo@stemp.app innerhalb dieser Frist.

4.4 Meldepflicht bei Datenschutzverletzungen. stemp meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden, per E-Mail. Die Meldung enthält mindestens:

Art der Verletzung und betroffene Datenkategorien
ungefähre Anzahl betroffener Personen und Datensätze
wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Abhilfemaßnahmen
Name und Kontaktdaten der verantwortlichen Person bei stemp für Rückfragen

Die Frist von 48 Stunden ermöglicht dem Auftraggeber, seine eigene Meldepflicht gegenüber der Aufsichtsbehörde gemäß Art. 33 DSGVO (72 Stunden) fristgerecht zu erfüllen.

4.5 Löschung und Rückgabe. Protokolle der automatischen Einordnung und ausgehende Webhook-Nachrichten speichert stemp, solange die Organisation besteht. Auf Anfrage löscht stemp sie früher. Löscht der Auftraggeber seine Organisation, löscht stemp die personenbezogenen Daten zehn Tage danach endgültig. Endet der Hauptvertrag auf andere Weise, löscht stemp sie spätestens 30 Tage nach Vertragsende. Bis dahin kann der Auftraggeber seine Daten exportieren. Ausgenommen sind:

(a) Daten, die stemp gesetzlich aufbewahren muss
(b) Sperrlisten für Abmeldungen, damit eine Abmeldung auch später beachtet wird
(c) Protokolle zum Versand und zu Ereignissen von E-Mails: stemp speichert sie ohne feste Frist, auch über die Löschung der Organisation hinaus. Auf Anfrage löscht stemp sie.
(d) Sicherungskopien der Datenbank: Sie werden nach 30 Tagen überschrieben. Wird die gesamte Datenbank gelöscht, bleibt eine letzte Sicherung. Sie wird spätestens 30 Tage danach gelöscht.
(e) E-Mails an Endkunden: stemp archiviert sie nicht. Bereits archivierte E-Mails löscht stemp bis zum 31.12.2026.
(f) Server-Protokoll: Es wird 30 Tage aufbewahrt, eine Kopie bei Datadog 15 Tage. Es kann E-Mail-Adressen und IP-Adressen von Endkunden enthalten.

Für die Protokolle der automatischen Einordnung, die Webhook-Nachrichten und die Protokolle unter (c) führt stemp bis zum 31.03.2027 feste Löschfristen ein.

stemp bestätigt die Löschung auf Anfrage in Textform.

§ 5 Pflichten des Auftraggebers

Der Auftraggeber ist als Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO allein für folgende Pflichten verantwortlich:

Sicherstellung einer Rechtsgrundlage für die Verarbeitung der Endkundendaten (zum Beispiel Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO oder Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO)
Information der betroffenen Endkunden gemäß Art. 13 und 14 DSGVO über die Verarbeitung ihrer Daten durch den Auftraggeber und durch stemp als Auftragsverarbeiter
Sicherstellung, dass importierte Kontakte (zum Beispiel aus Mailchimp, CSV-Import oder sonstigen Drittdiensten) einer Verarbeitung ihrer Daten durch stemp zugestimmt haben oder eine andere Rechtsgrundlage gemäß Art. 6 DSGVO besteht
Bearbeitung von Anfragen betroffener Personen in eigener Verantwortung
Einhaltung der Weisungspflicht (Dokumentation von Sonderweisungen in Textform)

Der Auftraggeber bestätigt mit Abschluss dieses AVV, dass er für alle in die Plattform importierten oder eingespeisten personenbezogenen Daten über eine gültige Rechtsgrundlage zur Weiterverarbeitung verfügt. stemp haftet nicht für Datenschutzverletzungen, die daraus resultieren, dass der Auftraggeber keine gültige Rechtsgrundlage für die übermittelten Daten besitzt oder fehlerhafte Weisungen erteilt hat.

§ 6 Unterauftragsverarbeiter

stemp ist berechtigt, Unterauftragsverarbeiter im Sinne des Art. 28 Abs. 2 DSGVO einzusetzen. stemp informiert den Auftraggeber über beabsichtigte Änderungen (Hinzufügung oder Austausch von Unterauftragsverarbeitern) mindestens 14 Tage im Voraus in Textform, per E-Mail an die Adresse seines Kontos und auf der Seite stemp.app/avv. Der Auftraggeber kann innerhalb dieser Frist begründeten Einspruch erheben.

Erhebt der Auftraggeber fristgerecht begründeten Einspruch, bemühen sich die Parteien um eine einvernehmliche Lösung. Ist keine Einigung möglich, ist der Auftraggeber berechtigt, diesen AVV und den Hauptvertrag mit einer Frist von 30 Tagen außerordentlich zu kündigen. Ohne Einspruch innerhalb der Frist gilt die Änderung als genehmigt.

Aktuell eingesetzte Unterauftragsverarbeiter, für jeden Dienst mit seiner vertraglichen Grundlage:

Dienstleister	Zweck	Sitz und Ort der Daten	Vertragliche Grundlage	Grundlage der Übermittlung
Amazon Web Services (AWS)	Server, Datenbank, Dateien, E-Mail-Versand (SES), Auslieferung (CloudFront)	Firma in den USA, Daten in Frankfurt am Main (eu-central-1), CloudFront weltweit	Datenvertrag von AWS, Teil der AWS Service Terms	DPF und Standardvertragsklauseln
Vercel Inc.	Bereitstellung von Website, Dashboard und Registrierungsseiten	USA	Nutzungsbedingungen von Vercel	DPF
Datadog, Inc.	Überwachung des Betriebs, Protokolle, Absturzberichte der iPhone-App	Firma in den USA, Daten in der EU	Datenvertrag von Datadog, Teil des Master Subscription Agreement	DPF und Standardvertragsklauseln
Knock Labs, Inc.	Benachrichtigungen an den Auftraggeber, darunter das Belohnungsprotokoll mit Kennungen der Karten	USA	Datenvertrag von Knock, Teil der Terms of Service	DPF und Standardvertragsklauseln
PostHog Inc.	Produktanalyse im Dashboard nach Einwilligung, Sitzungsaufzeichnung mit verdeckten Texten und Bildern	Firma in den USA, Daten in der EU	Datenvertrag von PostHog	DPF
Cloudflare, Inc.	Namensauflösung, Weiterleitung und Schutz vor Angriffen für die Registrierungsseiten unter stemp.page, Namensauflösung für stemp.app	USA, weltweites Netz	Datenvertrag von Cloudflare, Teil des Self-Serve Subscription Agreement	DPF und Standardvertragsklauseln

Apple (Apple Wallet, Apple Push Notification Service) und Google (Google Wallet) stellen Wallet-Karten und Benachrichtigungen als eigenständig Verantwortliche bereit. stemp übermittelt ihnen dafür im Auftrag des Auftraggebers die nötigen Daten der Endkunden. Sie sind keine Unterauftragsverarbeiter von stemp.

Apps Dritter, die der Auftraggeber selbst aktiviert, sowie Dienste, die er selbst verbindet (zum Beispiel Mailchimp, ein eigenes E-Mail-Konto, eigene Webhooks), sind keine Unterauftragsverarbeiter von stemp. Daten fließen dorthin auf Weisung des Auftraggebers (§ 3).

§ 7 Übermittlung in Drittländer

Soweit Daten in Länder außerhalb des Europäischen Wirtschaftsraums übermittelt werden, erfolgt dies nur nach Art. 44 ff. DSGVO.

Für Dienstleister in den USA ist die Grundlage je nach Dienst die Zertifizierung nach dem EU-US Data Privacy Framework (DPF, Angemessenheitsbeschluss (EU) 2023/1795 der Europäischen Kommission), die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, für die Unterauftragsverarbeitung im Modul 3, Auftragsverarbeiter an Auftragsverarbeiter) oder beides. Die Grundlage für jeden Dienst steht in der Tabelle in § 6. Fällt das DPF weg oder wird es für ungültig erklärt, gelten für Dienste mit Standardvertragsklauseln diese allein. Für die übrigen schließt stemp Standardvertragsklauseln ab oder ersetzt den Dienst.

§ 8 Kontroll- und Prüfungsrechte

Der Auftraggeber ist berechtigt, die Einhaltung der datenschutzrechtlichen Bestimmungen durch stemp zu kontrollieren (Art. 28 Abs. 3 lit. h DSGVO). Dies kann erfolgen durch:

Anforderung von Dokumentation und Nachweisen (zum Beispiel zu den technischen und organisatorischen Maßnahmen), kostenfrei
Durchführung einer Prüfung vor Ort nach mindestens vier Wochen schriftlicher Vorankündigung, auf Kosten des Auftraggebers
Beauftragung eines neutralen Dritten (zum Beispiel eines zertifizierten Datenschutzprüfers), auf Kosten des Auftraggebers

stemp stellt dem Auftraggeber alle erforderlichen Informationen zur Verfügung, um die Einhaltung der in diesem Vertrag festgelegten Pflichten nachzuweisen.

§ 9 Haftung

9.1 Grundsatz. Für die Haftung der Parteien gilt § 17 der AGB.

9.2 Haftungsverteilung im Verhältnis zu Dritten. Im Verhältnis der Parteien zueinander gegenüber betroffenen Personen und Behörden haftet jede Partei für den Teil des entstandenen Schadens, den sie zu verantworten hat (Art. 82 DSGVO).

9.3 Pflichtverletzungen des Auftraggebers. stemp haftet nicht für Datenschutzverletzungen, die darauf beruhen, dass der Auftraggeber keine gültige Rechtsgrundlage für die in die Plattform übermittelten Daten besitzt, fehlerhafte, unvollständige oder rechtswidrige Weisungen erteilt hat oder seine Pflichten gemäß § 5 verletzt hat.

Hinweis: Bußgelder nach Art. 83 DSGVO können Aufsichtsbehörden direkt gegen den Auftragsverarbeiter verhängen, unabhängig von vertraglichen Haftungsvereinbarungen. Diese Regelungen betreffen ausschließlich die zivilrechtliche Haftung zwischen den Parteien.

§ 10 Schlussbestimmungen

10.1 Form und Änderungen. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform (E-Mail genügt). stemp kann diesen AVV nach § 22 der AGB ändern, soweit zwingendes Datenschutzrecht nicht entgegensteht.

10.2 Anwendbares Recht, Gerichtsstand und Unwirksamkeit. Es gilt § 24 der AGB.

10.3 Gesamtheit der Vereinbarung. Dieser AVV einschließlich seiner Anlage stellt die vollständige Vereinbarung der Parteien zu den darin geregelten Datenschutzfragen dar und ersetzt alle früheren mündlichen oder schriftlichen Vereinbarungen zu diesem Gegenstand.

Anlage A zum AVV: Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Stand: 22.10.2026

Bereich	Maßnahme
Zutritt	Wir betreiben keine eigenen Server. Alle Systeme laufen bei Amazon Web Services in Frankfurt am Main (Region eu-central-1), in Rechenzentren mit eigener Zutrittskontrolle des Anbieters.
Zugang	Anmeldung am Dashboard mit E-Mail-Adresse und Passwort (mindestens 8 Zeichen) oder mit Google oder Apple. Passwörter speichern wir nur als BCrypt-Hash. Anmelde-Token sind kurzlebig und als HttpOnly-Cookies gesetzt. Anfragen je IP-Adresse sind begrenzt. Bei einer Anmeldung von einem unbekannten Ort bekommt der Nutzer eine Warnung. Unsere Admin-Zugänge zu Infrastruktur, Monitoring und den Verwaltungskonten unserer Dienstleister sind mit einem zweiten Faktor geschützt.
Zugriff	Rechte je Organisation in drei Rollen (Eigentümer, Admin, Mitglied). Schnittstellen-Schlüssel und Apps bekommen nur die Rechte, die ihnen erteilt wurden. Admin-Rechte bei stemp hat nur der Geschäftsführer. Für Auswertungen gibt es einen Datenbank-Benutzer, der nur lesen darf.
Trennung	Jeder Endkunde und seine Daten gehören zu genau einer Organisation, und die Abfragen filtern nach der Organisation. Teammitglieder können zu mehreren Organisationen gehören und sehen jeweils nur deren Daten. Test- und Produktionsumgebung laufen in getrennten AWS-Konten.
Übertragung	Alle Verbindungen zu Website, Dashboard, Schnittstellen und Anmeldeseiten laufen verschlüsselt (HTTPS mit HSTS). E-Mails verschicken wir nur über verschlüsselte Verbindungen (TLS erzwungen).
Speicherung	Datenbank, Dateispeicher und E-Mail-Archiv sind verschlüsselt. Zugangsdaten zu Diensten, die ein Betrieb mit stemp verbindet (zum Beispiel Mailchimp), speichern wir verschlüsselt.
Eingabe	Bei jedem Stempel speichern wir Zeitpunkt und Teammitglied. Automatische Zuordnungen von Endkunden zu Gruppen werden protokolliert. Anmeldungen des Supports im Konto eines Betriebs werden mit Person und Zeitpunkt im Server-Protokoll festgehalten. Das Server-Protokoll wird 30 Tage aufbewahrt, eine Kopie bei Datadog 15 Tage. Wartungszugriffe auf die Produktionsumgebung werden mitgeschnitten. Die Mitschnitte von Wartungszugriffen werden 365 Tage aufbewahrt.
Pseudonymisierung	Intern verweisen alle Datensätze über eigene Kennungen aufeinander, nicht über Namen oder E-Mail-Adressen.
Verfügbarkeit	Tägliche automatische Sicherungen der Datenbank, die 30 Tage aufbewahrt werden. Wird die gesamte Datenbank gelöscht, bleibt eine letzte Sicherung. Sie wird spätestens 30 Tage danach gelöscht. Überwachung und Fehlermeldungen über Datadog (Datenort EU). Öffentliche Statusseite.
Löschung	Löscht ein Betrieb seine Organisation, werden ihre Daten nach 10 Tagen endgültig gelöscht, auch die seiner Endkunden. Die Ausnahmen stehen in § 4.5. Das Server-Protokoll löschen wir nach 30 Tagen, die Kopie bei Datadog nach 15 Tagen, Dateien der Stempelkarten nach 90 Tagen.
Auftragskontrolle	Wir setzen nur Dienstleister ein, die in der Liste in § 6 stehen. Neue kündigen wir vorher an (§ 6).
Organisation	Zugriff auf personenbezogene Daten hat nur der Geschäftsführer. Weitere Personen erhalten Zugriff erst nach schriftlicher Verpflichtung zur Vertraulichkeit. Datenschutzverletzungen melden wir dem Betrieb nach § 4.4.

Wir passen diese Maßnahmen an den Stand der Technik an, ohne das Schutzniveau zu senken.

Auftrags­verarbeitungs­vertrag