Zurück

Datenschutz­erklärung

PDF

Datenschutzerklärung

1. Verantwortlicher

GYP Media UG (haftungsbeschränkt)
Kolonnenstraße 8, 10827 Berlin, Deutschland
Vertreten durch den Geschäftsführer: Niklas Krüger
E-Mail: hallo@stemp.app

Einen Datenschutzbeauftragten müssen wir nicht bestellen, weil die Voraussetzungen des § 38 BDSG nicht vorliegen. Für alle Fragen zum Datenschutz schreib uns an hallo@stemp.app.

2. Überblick

Hier erfährst du nach Art. 13 und 14 DSGVO, welche personenbezogenen Daten wir verarbeiten, wofür, an wen wir sie weitergeben und welche Rechte du hast. Personenbezogene Daten sind alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen (Art. 4 Nr. 1 DSGVO).

Die Erklärung richtet sich an:

  • Besucher unserer Website,
  • unsere Kunden, also Läden und andere Betriebe mit Stammkunden, auch mit mehreren Filialen, die stemp nutzen (im Folgenden „Betriebe“), und deren Teammitglieder mit einem stemp-Konto,
  • die Endkunden dieser Betriebe, zum Beispiel mit einer digitalen Stempelkarte. Für ihre Daten ist der jeweilige Betrieb verantwortlich. Wir verarbeiten sie nur in seinem Auftrag (Abschnitt 6b).

Geltungsbereich:

Domain Wofür
stemp.app Website, Dashboard und Schnittstellen, auch unter Unterdomains wie api.stemp.app, developer.stemp.app (Entwicklerportal) und mcp.stemp.app
stemp.gyp.rest technische Adressen von Schnittstelle und Dashboard, zum Beispiel api.prod.stemp.gyp.rest und prod.stemp.gyp.rest. Über sie holen Apple-Wallet-Karten ihre Aktualisierungen ab, und Links in E-Mails können darauf zeigen.
stemp.email Versand von E-Mails im Rahmen des Produkts (über Amazon SES)
stemp.page Anmeldeseiten, über die sich Endkunden für eine Stempelkarte registrieren. Der jeweilige Betrieb richtet sie ein (Abschnitt 6b).
stemp.id Kürzel und Weiterleitung in QR-Codes, keine eigenen Inhalte
stemp.tools Integrationen, die wir selbst entwickelt haben
hintoric-dns.com DNS-Eintrag (CNAME), mit dem Betriebe eine eigene Domain für ihre Anmeldeseite einrichten. Keine eigenen Inhalte.

3. Hosting und Bereitstellung

Unsere Dienste laufen bei:

  • Amazon Web Services: Server, Datenbank, Dateien und E-Mail-Versand in Frankfurt am Main (Region eu-central-1). Für die Auslieferung nutzen wir Amazon CloudFront mit Servern weltweit.
  • Vercel Inc.: Website, Dashboard und Anmeldeseiten.
  • Cloudflare Inc.: Namensauflösung (DNS). Für die Anmeldeseiten unter stemp.page leitet Cloudflare außerdem die Anfragen weiter und schützt vor Angriffen. Dabei sieht Cloudflare die Anfragen der Endkunden.

Welche Daten: IP-Adresse, Datum und Uhrzeit, Browser und Version, Betriebssystem, Referrer, abgerufene Inhalte.

Wofür: sichere und stabile Bereitstellung, Schutz vor Missbrauch und Angriffen, zum Beispiel durch eine Begrenzung der Anfragen je IP-Adresse.

Übermittlung in die USA: Die Anbieter sitzen in den USA. Grundlage ist das EU-US Data Privacy Framework (DPF), unter dem alle drei zertifiziert sind (Art. 45 DSGVO). Für Amazon Web Services und Cloudflare gelten ergänzend EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Es lässt sich nicht ausschließen, dass US-Behörden auf Daten zugreifen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer, stabiler und schneller Dienst. Ohne diese Verarbeitung kann die Website nicht angezeigt werden.

4. Cookies und ähnliche Technologien

4.1 Technisch notwendige Cookies

Diese Cookies setzen wir ohne Einwilligung, weil die Dienste sonst nicht funktionieren.

Cookie Wofür Wie lange
oidc_token Anmeldung (JWT-Token), HttpOnly, Secure 30 Minuten
oidc_refresh_token Erneuerung der Anmeldung, HttpOnly, Secure 30 Tage
sso_redirect, oauth2_auth_request Ablauf der Anmeldung mit Google oder Apple 5 Minuten
invitation_token Annahme einer Team-Einladung 5 Minuten
stemp_mobile Anmeldung aus der iPhone-App 10 Minuten
stemp-last-org zuletzt gewählte Organisation 12 Monate
sidebar_state Seitenleiste im Dashboard auf- oder zugeklappt 7 Tage
c15t deine Auswahl im Cookie-Banner 12 Monate

Außerdem merkt sich dein Browser Einstellungen der Oberfläche, etwa aufgeklappte Menüs oder geschlossene Hinweise (localStorage und sessionStorage). Diese Einträge verlassen deinen Browser nicht.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO.

4.2 Analyse (PostHog)

Wir nutzen PostHog, um zu verstehen, wie Website und Dashboard genutzt werden. PostHog wird erst nach deiner Einwilligung im Cookie-Banner aktiv. Die Daten laufen über unsere eigene Domain und werden in der EU gespeichert. Anbieter ist die PostHog Inc. in San Francisco (USA). Für einen Zugriff aus den USA gilt das DPF, unter dem PostHog Inc. zertifiziert ist (Art. 45 DSGVO).

Welche Daten: aufgerufene Seiten, Klicks, Verweildauer, Geräte- und Browserdaten, Ladezeiten, technische Fehler im Browser, eine Kennung deines Geräts. Bist du angemeldet, verknüpfen wir diese Daten mit deiner E-Mail-Adresse.

Aufzeichnung von Sitzungen: Wir zeichnen auf, wie du Website und Dashboard nutzt (Session Replay): Klicks, Seitenaufbau und Meldungen der Browser-Konsole. Alle Texte, Eingaben und Bilder werden dabei verdeckt.

Auf den Anmeldeseiten für Endkunden (stemp.page) setzen wir PostHog nicht ein.

Cookie Wofür Wie lange
ph_phc_*_posthog Kennung deines Geräts für die Analyse, erst nach deiner Einwilligung 12 Monate

Wie lange: 12 Monate. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) und § 25 Abs. 1 TDDDG. Widerruf: jederzeit über den Link „Cookie-Einstellungen“ am Ende der Website.

4.3 Support-Chat (Intercom)

Wir nutzen Intercom als Chat für angemeldete Kunden im Dashboard und in der iPhone-App. Auf der Website und auf den Anmeldeseiten laden wir Intercom nicht.

Welche Daten: E-Mail-Adresse, Name, interne Nutzer-ID, Anmeldedatum, Name deiner Organisation, Nachrichten, Zeitpunkte, technische Gerätedaten.

Cookie Wofür Wie lange
intercom_jwt Anmeldung im Chat 30 Minuten
intercom-device-id-* Zuordnung des Geräts 9 Monate
intercom-session-* Sitzung des Chat-Fensters 7 Tage

Übermittlung in die USA: Intercom speichert die Daten in den USA. Grundlage ist das DPF (Art. 45 DSGVO), ergänzend gelten Standardvertragsklauseln.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Support als Teil des Vertrags) und § 25 Abs. 2 Nr. 2 TDDDG.

4.4 Cookie-Einstellungen

Für das Cookie-Banner nutzen wir die freie Bibliothek c15t. Deine Auswahl und ihren Zeitpunkt speichern wir nur in deinem Browser, nicht auf unseren Servern. Du kannst sie jederzeit über den Link „Cookie-Einstellungen“ ändern. Was bis zum Widerruf geschehen ist, bleibt rechtmäßig.

5. Konto und Anmeldung

Für dein Konto verarbeiten wir deine E-Mail-Adresse und dein Passwort. Das Passwort speichern wir nur als Hash, also nicht im Klartext.

Anmeldung mit Google oder Apple: Google übermittelt uns dabei E-Mail-Adresse, Name und Profilbild, Apple E-Mail-Adresse und Name. Wir speichern davon nur die E-Mail-Adresse und eine Kennung, die der Anbieter für dein Konto vergibt (Art. 14 Abs. 2 lit. f DSGVO). Es gelten zusätzlich die Datenschutzbestimmungen des Anbieters.

Anmelde-Sitzungen: Bei jeder Anmeldung speichern wir IP-Adresse, ungefähren Ort (aus den Netzwerkdaten), Gerät, Browser und Zeitpunkt. So zeigen wir dir deine aktiven Sitzungen und warnen dich per E-Mail, wenn sich jemand von einem unbekannten Ort anmeldet.

Team-Einladungen: Lädst du Teammitglieder ein, speichern wir deren E-Mail-Adresse und Rolle und verschicken die Einladung (Abschnitt 7). Abgelaufene Einladungen löschen wir automatisch.

Stempeln als Teammitglied: Stempelst du als Teammitglied, speichern wir Zeitpunkt, Standort des Betriebs und dein Konto. Schickt eine Anwendung des Betriebs über die Schnittstelle Koordinaten mit, speichern wir auch diese (Abschnitt 6b). Die Apps von stemp selbst schicken keine.

Adresssuche für Standorte: Legst du einen Standort an, kannst du ihn über Google suchen. Dabei schickt unser Server nur deinen Suchbegriff an Google (Google Places API), keine Daten deines Browsers. Google liefert Name, Adresse, Koordinaten und Telefonnummer des Geschäfts zurück. Google handelt dabei als eigenständig Verantwortlicher (Abschnitt 13a).

Zugriff durch unseren Support: Um dir bei einem Problem zu helfen, kann sich unser Support in dein Konto einloggen. Das ist derzeit nur der Geschäftsführer. Jede solche Anmeldung wird mit Person und Zeitpunkt im Server-Protokoll festgehalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für Sitzungen und Warnungen zusätzlich Art. 6 Abs. 1 lit. f DSGVO (Schutz deines Kontos). Ohne E-Mail-Adresse und Passwort (oder Anmeldung mit Google oder Apple) können wir kein Konto anlegen.

6. Vertrag

Für die Nutzung von stemp schließt du mit uns einen Vertrag nach unseren Allgemeinen Geschäftsbedingungen. Dafür verarbeiten wir die nötigen Vertragsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6a. Zahlung und Rechnungen

Wie du bezahlst: mit Karte und weiteren Zahlungsarten über Stripe oder als Abo im App Store von Apple.

Stripe

Vertragspartner im EWR ist die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Daten können an die Muttergesellschaft Stripe, Inc. in den USA gehen.

Welche Daten: Name deiner Organisation, E-Mail-Adresse der Person, die das Abo abschließt, Rechnungsadresse, gegebenenfalls Umsatzsteuer-Identifikationsnummer, Betrag, Währung, Zeitpunkt, Geräte- und Verbindungsdaten zur Betrugsprävention. Kartendaten gibst du direkt bei Stripe ein, wir erhalten sie nicht.

Doppelrolle: Soweit Stripe Zahlungen für uns abwickelt, ist Stripe unser Auftragsverarbeiter. Für eigene Zwecke wie Betrugs- und Geldwäscheprävention ist Stripe selbst verantwortlich (https://stripe.com/de/privacy).

Löschung: Löschst du deine Organisation, kündigen wir dein über Stripe gebuchtes Abo. Ein Abo aus dem App Store kündigst du selbst bei Apple, das können wir nicht. Deine Kundendaten bei Stripe bleiben wegen der gesetzlichen Aufbewahrungspflichten erhalten (Abschnitt 18).

Übermittlung in die USA: DPF (Art. 45 DSGVO), ergänzend Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Abo im App Store (RevenueCat)

Schließt du ein Abo im App Store ab, wickelt Apple die Zahlung als eigener Verantwortlicher ab. Wir erhalten keine Zahlungsdaten. Um Käufe deinem Konto zuzuordnen, nutzen wir RevenueCat, Inc., 633 Taraval St. Suite 101, San Francisco, CA 94116, USA, als Auftragsverarbeiter.

Welche Daten: eine Nutzer-ID der App, Kauf- und Abodaten (Transaktion, Produkt, Preis, Währung, Status, Zeitpunkte), Gerätedaten (Typ, Betriebssystem, Sprache, IP-Adresse).

Übermittlung in die USA: RevenueCat speichert in den USA und ist nicht DPF-zertifiziert. Grundlage sind Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Rechnungen (Lexware)

Rechnungen erstellen und verwalten wir mit Lexware (Haufe-Lexware GmbH & Co. KG, Freiburg, Deutschland). Dafür verarbeiten wir Name und Anschrift, E-Mail-Adresse, Beträge, Rechnungsnummern und Zahlungszeitpunkte sowie gegebenenfalls die Umsatzsteuer-Identifikationsnummer. Die Daten bleiben in Deutschland.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. c DSGVO (Buchführungs- und Aufbewahrungspflichten).

6b. Daten der Endkunden: Verarbeitung im Auftrag der Betriebe

Wer verantwortlich ist

Die Daten der Endkunden verarbeiten wir nur im Auftrag und nach Weisung des Betriebs, auf Grundlage eines Vertrags zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO, der Teil unserer AGB ist. Verantwortlich ist der Betrieb. Er entscheidet, welche Daten er auf seiner Anmeldeseite abfragt, wie seine Karte aussieht, welche Nachrichten er schickt und welche automatischen Funktionen er nutzt. Eine Ausnahme ist die Bildung anonymer Gesamtzahlen (unten). Dafür sind wir selbst verantwortlich.

So funktioniert es

Betriebe richten eine Anmeldeseite unter stemp.page oder unter einer eigenen Domain ein. Endkunden registrieren sich dort und bekommen eine Stempelkarte für Apple Wallet oder Google Wallet. Betriebe können ihren Endkunden E-Mails schicken (über stemp.email oder ihr eigenes E-Mail-Konto) und Mitteilungen über die Karte, automatisch nach Regeln, die der Betrieb einschaltet.

Auf den Anmeldeseiten setzen wir keine Analyse-Cookies ein und laden keine Inhalte von Drittanbietern.

Welche Daten

Welche Angaben ein Endkunde macht, bestimmt der Betrieb, typisch sind Name, E-Mail-Adresse, Telefonnummer, Geburtsdatum und eigene Felder. Dazu kommen:

  • Anmeldung: Zeitpunkt, Herkunft (Referrer, Kampagnen-Parameter), Sprache des Browsers. Ort und Gerät nur, wenn der Betrieb das einstellt. Zum Endkunden speichern wir die IP-Adresse nicht. Im Server-Protokoll kann sie bis zu 30 Tage stehen, in der Kopie bei Datadog 15 Tage.
  • Einwilligungen: wann der Endkunde die Datenschutzhinweise bestätigt hat und, falls der Betrieb danach fragt, ob und wann er Werbe-E-Mails zugestimmt hat.
  • Karte: Stempelstand, Belohnungen, Status in der Wallet, eine Kennung des Geräts für Mitteilungen.
  • Stempeln: Zeitpunkt, Standort des Betriebs und das Teammitglied, das gestempelt hat. Schickt ein angebundenes System des Betriebs beim Stempeln Koordinaten mit, speichern wir auch diese.
  • Automatische Gruppen: stemp ordnet Endkunden nach ihrem Verhalten Gruppen zu, etwa „neu“, „Stammkunde“, „Karte fast voll“, „seit 30 Tagen nicht da“ oder „hat Geburtstag“. Diese Standard-Regeln sind für jeden Betrieb von Anfang an eingeschaltet, der Betrieb kann jede Regel abschalten.
  • Nachrichten: Inhalt und Zeitpunkt von Mitteilungen. Bei E-Mails Zustellung, Öffnen und Klicken, mit IP-Adresse und Browser. Abmeldungen speichern wir, damit sie gelten.

Anonyme Gesamtzahlen: Wir anonymisieren Daten, um zusammengefasste Kennzahlen zu bilden (§ 19 unserer AGB), zum Beispiel die Gesamtzahl der Stempel aller Betriebe in einem Monat. Diese Kennzahlen lassen weder einen Endkunden noch einen Betrieb erkennen. Wir nutzen sie, um stemp zu verbessern, für Statistiken und für unsere Werbung. Kennzahlen, aus denen man auf einen einzelnen Betrieb schließen könnte, veröffentlichen wir nur mit seiner Zustimmung. Für die Anonymisierung sind wir selbst Verantwortlicher (Art. 28 Abs. 10 DSGVO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, stemp anhand zusammengefasster Zahlen zu verbessern und über die Nutzung zu berichten. Widersprechen kannst du nach Abschnitt 17.

Rechtsgrundlage

Ob die Daten der Endkunden rechtmäßig erhoben werden, zum Beispiel per Einwilligung oder für den Vertrag mit dem Endkunden, verantwortet der Betrieb.

Für Endkunden

Hast du dich über eine Anmeldeseite von stemp registriert, ist der Betrieb für deine Daten verantwortlich, nicht wir. Ausgenommen sind die anonymen Gesamtzahlen (oben). Wende dich mit Fragen zum Datenschutz, etwa zu Auskunft oder Löschung, bitte direkt an den Betrieb. Hat der Betrieb einen Link auf seine Datenschutzhinweise hinterlegt, steht er auf der Anmeldeseite direkt beim Knopf zum Absenden. Wir unterstützen den Betrieb dabei.

Mitteilungen über deine Karte kannst du jederzeit in den Einstellungen deines Geräts abschalten oder die Karte löschen. E-Mails, die über stemp gehen, enthalten einen Link zum Abmelden. Ausgenommen sind reine Vorgangs- und Sicherheits-Mails.

7. E-Mails und Benachrichtigungen

Für E-Mails zu deinem Konto (Bestätigung, Passwort, Einladungen, Abrechnung, Warnungen zur Anmeldung) und für Benachrichtigungen im Dashboard nutzen wir:

  • Knock Labs, Inc. (USA). Knock erhält deine E-Mail-Adresse, deinen Namen und den Inhalt der Nachricht, zum Beispiel einen Link zum Zurücksetzen des Passworts oder bei einer Warnung deine IP-Adresse, den Ort und das Gerät.
  • Amazon SES in Frankfurt.
  • Google Workspace (Gmail) für unsere eigene E-Mail. Geschäftliche E-Mails mit unseren Kunden bewahren wir dort auf, so lange es das Gesetz verlangt (Abschnitt 18).

E-Mails der Betriebe an ihre Endkunden versenden wir als Auftragsverarbeiter über Amazon SES (Abschnitt 6b). Bei diesen E-Mails messen wir Öffnen und Klicken.

Kein Archiv für E-Mails an Endkunden: E-Mails an Endkunden archivieren wir nicht. Bereits archivierte E-Mails löschen wir bis zum 31.12.2026.

Übermittlung in die USA: Knock, Google und Amazon sind unter dem DPF zertifiziert (Art. 45 DSGVO), ergänzend gelten Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

8. Monitoring (Datadog)

Wir nutzen Datadog, um Fehler zu finden und den Betrieb unserer Dienste zu überwachen. Die Daten liegen in der EU. Anbieter ist die Datadog, Inc. in den USA.

Welche Daten:

  • eine Kopie des Server-Protokolls. Es kann E-Mail-Adressen, IP-Adressen und interne Kennungen enthalten, auch von Endkunden.
  • Leistungsdaten einzelner Anfragen und Systemmetriken.
  • In der iPhone-App: Absturzberichte und Nutzungsdaten der App, verknüpft mit deiner Nutzer-ID, deinem Namen und deiner E-Mail-Adresse.

Wir nutzen diese Daten nicht für Werbung.

Wie lange: Kopie des Server-Protokolls 15 Tage. Übermittlung in die USA: Für einen Zugriff aus den USA gilt das DPF (Art. 45 DSGVO), ergänzend gelten Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein stabiler, sicherer Dienst, in dem wir Fehler schnell beheben.

9. Kontakt mit uns

  • Intercom: siehe Abschnitt 4.3.
  • Knock: siehe Abschnitt 7.
  • Slack: Bestimmte Ereignisse meldet unser System intern über Slack an unser Team: neue Registrierungen (E-Mail-Adresse, Name der Organisation), Anfragen für ein eigenes Kartendesign (E-Mail-Adresse, Angaben zum Betrieb, deine Notizen) und Nachrichten aus dem Kontakt- und Partnerformular (Name, Firma, E-Mail-Adresse, Nachricht). Slack gehört zu Salesforce (USA). Für die Übermittlung gilt das DPF, unter dem Salesforce mit Slack zertifiziert ist (Art. 45 DSGVO), ergänzend gelten Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, neue Registrierungen und Anfragen intern schnell zu bearbeiten.

10. Code-Editor im Dashboard (jsDelivr)

Einige Ansichten im Dashboard, zum Beispiel die Editoren für JSON- und Webhook-Daten, laden ihren Code-Editor über das Netzwerk jsDelivr. Dabei erhält jsDelivr deine IP-Adresse und Browserdaten. Anbieter ist die Volentio JSD Limited, England und Wales. Sie verarbeitet diese Daten als eigenständig Verantwortliche und nutzt für die Auslieferung weitere Netzwerk-Anbieter, die die Daten ebenfalls erhalten.

Übermittlung ins Vereinigte Königreich: Grundlage ist der Angemessenheitsbeschluss der EU-Kommission für das Vereinigte Königreich (Art. 45 DSGVO). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein funktionierender Editor im Dashboard.

11. Digitale Wallet-Karten

  • Apple Wallet: Für Mitteilungen über die Karte nutzen wir den Apple Push Notification Service und speichern dafür eine Kennung des Geräts.
  • Google Wallet: Die Karte wird über die Google Wallet API bei Google angelegt. Dabei übermitteln wir ihre Inhalte, zum Beispiel Vorname, Stempelstand und Felder, die der Betrieb anzeigt.

Wir übermitteln diese Daten im Auftrag des Betriebs (Abschnitt 6b). Apple und Google verarbeiten sie als eigenständig Verantwortliche (Abschnitt 13a).

Übermittlung in die USA: Apple Inc. und Google LLC sitzen in den USA. Grundlage ist das DPF, unter dem beide zertifiziert sind (Art. 45 DSGVO). Rechtsgrundlage: für Endkunden siehe Abschnitt 6b, für Betriebe Art. 6 Abs. 1 lit. b DSGVO.

12. Statusseite

Über statuspage.io (Atlassian Pty Ltd, 341 George Street, Sydney, Australien, mit Infrastruktur auch in den USA) zeigen wir, ob unsere Dienste erreichbar sind.

Aufruf der Statusseite: Dabei werden IP-Adresse, Browser und Zeitpunkt verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine öffentliche Seite, auf der du selbst prüfen kannst, ob alles läuft. Es gibt dort kein Tracking.

Status-Meldungen abonnieren (freiwillig): Je nach Kanal verarbeiten wir deine E-Mail-Adresse oder Telefonnummer, bei RSS und Webhooks keine personenbezogenen Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Abmelden kannst du dich über den Link in jeder Meldung. Danach löschen wir deine Kontaktdaten unverzüglich.

Übermittlung in die USA: DPF (Art. 45 DSGVO), ergänzend Standardvertragsklauseln.

13. Dienstleister und Empfänger

Diese Dienstleister verarbeiten Daten in unserem Auftrag (Art. 28 DSGVO). Die Spalte „Auch Endkundendaten“ zeigt, wer auch Daten der Endkunden verarbeitet. Diese Dienstleister stehen ebenso im AVV mit den Betrieben. Die Spalte „Vertrag“ zeigt, auf welcher Grundlage der Dienstleister die Daten für uns verarbeitet. AVV steht dabei für einen Vertrag zur Auftragsverarbeitung.

Dienstleister Wofür Auch Endkundendaten Datenort Übermittlung Vertrag
Amazon Web Services Server, Datenbank, Dateien, E-Mail-Versand, Auslieferung ja EU (Frankfurt), CloudFront weltweit DPF + SCC AVV, Teil der AWS Service Terms
Vercel Inc. Website, Dashboard, Anmeldeseiten ja USA DPF Nutzungsbedingungen von Vercel
Cloudflare Inc. DNS, für stemp.page Weiterleitung und Schutz vor Angriffen ja USA DPF + SCC AVV, Teil des Self-Serve Subscription Agreement
Datadog, Inc. Monitoring ja EU DPF + SCC AVV, Teil des Master Subscription Agreement
PostHog Inc. Produktanalyse (nach Einwilligung) ja EU DPF AVV
Knock Labs, Inc. E-Mails und Benachrichtigungen ja (nur Kennungen von Karten im Belohnungsprotokoll) USA DPF + SCC AVV, Teil der Terms of Service
Google (Workspace) E-Mail-Postfach von stemp nein USA / Irland DPF + SCC AVV (Cloud Data Processing Addendum)
Intercom Support-Chat nein USA DPF + SCC AVV, Teil der Terms of Service
Stripe Zahlungen, soweit weisungsgebunden nein Irland / USA DPF + SCC AVV, Teil des Stripe Services Agreement
RevenueCat, Inc. Abos im App Store nein USA SCC AVV, Teil der Terms
Slack (Salesforce) interne Meldungen nein USA DPF + SCC AVV
Haufe-Lexware Rechnungen nein Deutschland nicht zutreffend AVV
Atlassian Statusseite nein USA / Australien DPF + SCC AVV, Teil des Atlassian Customer Agreement

Verbindet ein Betrieb stemp mit eigenen Diensten (zum Beispiel Mailchimp, sein eigenes E-Mail-Konto, Webhooks, Apps oder einen KI-Assistenten über unsere MCP-Schnittstelle mcp.stemp.app), übermitteln wir Daten auf seine Weisung dorthin. Dafür ist der Betrieb verantwortlich.

Zu Übermittlungen in die USA: Dort besteht grundsätzlich das Risiko, dass Behörden im Rahmen von Überwachungsprogrammen auf Daten zugreifen (zum Beispiel nach Section 702 FISA). Mit DPF-zertifizierten Anbietern und Standardvertragsklauseln setzen wir geeignete Garantien nach Art. 44 ff. DSGVO ein.

13a. Eigenständig Verantwortliche

Diese Anbieter verarbeiten Daten als eigene Verantwortliche. Darauf haben wir keinen Einfluss, es gelten ihre Datenschutzbestimmungen.

Anbieter Wofür Auch Endkundendaten Übermittlung
Apple Inc. Apple Wallet, Push-Mitteilungen, Anmeldung mit Apple, Zahlung bei Abos im App Store ja (Wallet und Push, Abschnitt 11) DPF
Google LLC / Google Ireland Ltd. Google Wallet, Anmeldung mit Google, Suche nach Geschäftsadressen ja (Wallet, Abschnitt 11) DPF
Volentio JSD Limited (jsDelivr) Code-Editor im Dashboard (Abschnitt 10) nein Angemessenheitsbeschluss Vereinigtes Königreich
Stripe Payments Europe, Ltd. / Stripe, Inc. Betrugs- und Geldwäscheprävention, Aufsichtspflichten nein DPF + SCC

14. Social Media

Wir verlinken auf unsere Profile bei Instagram, X und LinkedIn. Wir binden keine Social Plugins oder Inhalte dieser Anbieter ein. Daten gehen erst dann an die Plattform, wenn du einen Link anklickst. Ab dann gelten deren Datenschutzbestimmungen.

15. Automatisierte Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und dir gegenüber rechtliche Wirkung haben oder dich ähnlich erheblich beeinträchtigen (Art. 22 DSGVO).

Für die Betriebe ordnet stemp deren Endkunden automatisch Gruppen zu (Abschnitt 6b). Die Standard-Regeln sind für jeden Betrieb von Anfang an eingeschaltet. Das geschieht im Auftrag des Betriebs, und er kann jede Regel abschalten.

16. Deine Rechte

Du hast folgende Rechte. Schreib uns dafür an hallo@stemp.app.

  • Auskunft (Art. 15 DSGVO): ob und welche Daten wir über dich verarbeiten, mit einer Kopie.
  • Berichtigung (Art. 16 DSGVO) falscher oder unvollständiger Daten.
  • Löschung (Art. 17 DSGVO), wenn die gesetzlichen Voraussetzungen vorliegen.
  • Einschränkung der Verarbeitung (Art. 18 DSGVO).
  • Datenübertragbarkeit (Art. 20 DSGVO): deine Daten in einem gängigen, maschinenlesbaren Format.
  • Widerspruch (Art. 21 DSGVO), siehe Abschnitt 17.
  • Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO), jederzeit für die Zukunft.
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), vor allem dort, wo du wohnst, arbeitest oder wo der Verstoß passiert ist. Für uns zuständig ist: Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, https://www.datenschutz-berlin.de, mailbox@datenschutz-berlin.de.

Bist du Endkunde eines Betriebs, wende dich bitte an den Betrieb (Abschnitt 6b).

17. Widerspruchsrecht (Art. 21 DSGVO)

Du kannst aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit einer Verarbeitung widersprechen, die auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) beruht. Das gilt auch für ein darauf gestütztes Profiling. Dann verarbeiten wir deine Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Verarbeiten wir Daten für Direktwerbung, kannst du dem jederzeit widersprechen, auch einem damit verbundenen Profiling.

Schreib uns dafür an hallo@stemp.app.

18. Wie lange wir Daten speichern

Daten Wie lange
Nutzerkonto Löschung sofort, wenn du es löschst
Organisation mit ihren Daten, auch denen der Endkunden Löschung 10 Tage, nachdem du sie gelöscht hast. Bis dahin kann der Support die Löschung rückgängig machen. Ausgenommen sind die Protokolle zum E-Mail-Versand, die Abmelde- und Sperrlisten und das Server-Protokoll (30 Tage, Kopie bei Datadog 15 Tage), wie im AVV § 4.5 beschrieben.
Protokolle zum E-Mail-Versand (Zustellung, Öffnen, Klicken, mit IP-Adresse und Browser) ohne feste Frist, auch über die Löschung der Organisation hinaus. Auf Anfrage löschen wir sie. Bis zum 31.03.2027 führen wir dafür eine feste Frist ein.
Abmelde- und Sperrlisten für E-Mails ohne Frist, damit eine Abmeldung auch später gilt
Protokoll der automatischen Gruppen bis zur Löschung der Organisation, auf Anfrage früher. Bis zum 31.03.2027 führen wir dafür eine feste Frist ein.
Ausgehende Webhook-Nachrichten bis zur Löschung der Organisation, auf Anfrage früher. Bis zum 31.03.2027 führen wir dafür eine feste Frist ein.
Anmelde-Sitzungen (IP-Adresse, Ort, Gerät) bis zur Löschung des Kontos
Server-Protokoll (auch mit Anmeldungen des Supports in deinem Konto). Es kann E-Mail-Adressen und IP-Adressen von Endkunden enthalten. 30 Tage, eine Kopie bei Datadog 15 Tage
Mitschnitte von Wartungszugriffen auf die Produktionsumgebung 365 Tage
Analyse (PostHog) 12 Monate
Support (Intercom) ohne feste Frist, auf Anfrage löschen wir sie
E-Mails an Endkunden werden nicht archiviert. Bereits archivierte E-Mails löschen wir bis zum 31.12.2026.
Geschäftliche E-Mails mit Kunden (Gmail-Postfach) nach Art, wie es das Gesetz verlangt: Handelsbriefe 6 Jahre, E-Mails, die Buchungsbelege sind (zum Beispiel Rechnungen), 8 Jahre (§ 257 Abs. 4 HGB, § 147 Abs. 3 AO)
Zahlungs- und Rechnungsdaten, auch bei Stripe Dauer des Vertrags und gesetzliche Fristen: Rechnungen und andere Buchungsbelege 8 Jahre, Bücher und Jahresabschlüsse 10 Jahre, Handelsbriefe 6 Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB, jeweils in der Fassung des Vierten Bürokratieentlastungsgesetzes)
Kauf- und Abodaten (Stripe, RevenueCat) Dauer des Vertrags und gesetzliche Fristen
Dateien der Stempelkarten 90 Tage, danach neu erzeugt
Statusseite bis zur Abmeldung
Daten der Endkunden nach Weisung des Betriebs, spätestens nach Vertragsende gemäß AVV
Datensicherungen der Datenbank 30 Tage. Wird die gesamte Datenbank gelöscht, bleibt eine letzte Sicherung, die spätestens 30 Tage danach gelöscht wird.

Nach Ablauf einer Frist löschen oder anonymisieren wir die Daten, soweit keine Aufbewahrungspflicht entgegensteht.

19. Datensicherheit

Wir schützen Daten nach Art. 32 DSGVO, unter anderem durch:

  • verschlüsselte Übertragung (TLS) für Website, Dashboard, Schnittstellen und E-Mail-Versand,
  • verschlüsselte Datenbank und Archive, Passwörter nur als Hash,
  • Rollen und Rechte je Organisation,
  • getrennte Umgebungen für Test und Betrieb,
  • tägliche automatische Datensicherungen der Datenbank,
  • Mitschnitte von Wartungszugriffen auf die Produktionsumgebung.

Die vollständige Liste steht in der Anlage A zum AVV.

20. Kinder und Jugendliche

Unsere Website und unsere App richten sich nicht an Personen unter 16 Jahren. Wir erheben wissentlich keine Daten von Kindern unter 16 Jahren. Erfahren wir, dass das ohne Einwilligung der Sorgeberechtigten geschehen ist, löschen wir die Daten unverzüglich.

21. Musst du uns Daten geben?

Gesetzlich musst du uns keine Daten geben. Für einen Vertrag brauchen wir aber die als Pflicht gekennzeichneten Angaben, zum Beispiel deine E-Mail-Adresse. Ohne sie können wir den Vertrag nicht schließen und unsere Leistung nicht erbringen (Art. 6 Abs. 1 lit. b DSGVO).

22. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich das Recht, unsere Funktionen oder unsere Abläufe ändern. Die aktuelle Fassung findest du immer auf unserer Website. Braucht eine Änderung deine erneute Einwilligung, informieren wir dich gesondert.

Stand: 22.10.2026