ENTWURF – vor Veröffentlichung datenschutzrechtlich prüfen lassen. Insbesondere ist zu klären, ob BackPerk für die Warenkorb- und Buchungsdaten Auftragsverarbeiter des Partners ist oder ob gemeinsame Verantwortlichkeit (Art. 26 DSGVO) bzw. eigene Verantwortlichkeit vorliegt.
Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)
zwischen dem Partner (Verantwortlicher) und [FIRMA, ANSCHRIFT] (BackPerk, Auftragsverarbeiter)
1. Gegenstand und Dauer
BackPerk verarbeitet personenbezogene Daten, die der Partner über Kasse, Kassen-API oder Partnerportal übermittelt, um Punkte zu berechnen und zu buchen, Coupons anzuwenden, Retouren abzuwickeln und dem Partner Auswertungen bereitzustellen. Die Vereinbarung gilt für die Dauer der Teilnahme am Partnerprogramm.
2. Art der Daten und Betroffene
- Betroffene: Kunden des Partners, die eine BackPerk-Kundenkarte vorzeigen; Mitarbeiter des Partners mit Portalzugang.
- Daten: Kartennummer, Buchungszeitpunkt, Filiale, Belegnummer, Beträge, Warenkorb (Artikel, Kategorie, Marke, Menge, Preis), Punkte; bei Mitarbeitern Name, E-Mail, Rolle, Anmeldezeiten.
3. Pflichten von BackPerk
3.1 BackPerk verarbeitet die Daten nur auf dokumentierte Weisung des Partners; die Funktionen des Portals und der API gelten als Weisung.
3.2 Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.
3.3 BackPerk trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an.
3.4 BackPerk unterstützt den Partner bei Anfragen Betroffener, bei Meldungen von Datenschutzverletzungen (Benachrichtigung unverzüglich, möglichst binnen 24 Stunden nach Kenntnis) und bei Datenschutz-Folgenabschätzungen.
3.5 Nach Ende des Vertrags löscht BackPerk die Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht; Warenkörbe werden spätestens nach [24] Monaten anonymisiert.
4. Unterauftragsverarbeiter
Der Partner stimmt dem Einsatz folgender Unterauftragsverarbeiter zu: [HOSTING-ANBIETER, Sitz, Leistung], [E-MAIL-VERSAND], [BACKUP-SPEICHER]. Neue Unterauftragsverarbeiter werden mindestens 30 Tage vorher angekündigt; der Partner kann widersprechen.
5. Kontrollrechte
Der Partner kann sich von der Einhaltung dieser Vereinbarung überzeugen, vorrangig durch Vorlage aktueller Nachweise; Vor-Ort-Prüfungen nach Absprache mit angemessener Vorlaufzeit.
Anlage 1 – Technische und organisatorische Maßnahmen (Kurzfassung)
- Server in einem Rechenzentrum in [LAND/STADT], Zugang nur per SSH-Schlüssel, Firewall, automatische Sicherheitsupdates
- Verschlüsselte Übertragung (TLS), verschlüsselte Speicherung von Bankdaten, Signatur-Geheimnissen und 2FA-Schlüsseln; Passwörter, PINs und API-Schlüssel nur als Hash
- Rollen und Rechte im Partnerportal, Zwei-Faktor-Anmeldung für Inhaber und Administratoren
- Protokollierung von Buchungen, Stornos und Freigaben; automatische Erkennung von Auffälligkeiten
- Tägliche Sicherungen mit [14] Tagen Aufbewahrung, [Kopie an zweitem Standort]
- Händler sehen keine Klardaten der Kunden; Auswertungen nur zusammengefasst
Zuletzt aktualisiert: 08.11.2026