Vereinbarung zur Auftragsverarbeitung

Für StampBy gilt die einheitliche Vereinbarung zur Auftragsverarbeitung (AVV) der Uniqor UG (haftungsbeschränkt). Sie ist Anlage zu den Allgemeinen Geschäftsbedingungen und wird mit dem Hauptvertrag Bestandteil des Vertragsverhältnisses.

Vereinbarung zur Auftragsverarbeitung (Fassung 2026-11) auf uniqor.de

Auftraggeber (Verantwortlicher) ist der Kunde, Auftragnehmerin (Auftragsverarbeiterin) die Uniqor UG (haftungsbeschränkt), Alter Weg 5, 31199 Diekholzen, Amtsgericht Hildesheim HRB 210232, vertreten durch den Geschäftsführer Sascha Schöning.

Angaben zu StampBy

• Gegenstand: Bereitstellung digitaler Stempel- und Mitgliedskarten samt Händler-Dashboard.
• Betroffene Personen: Karteninhaber (Kunden des Auftraggebers), Mitarbeitende des Auftraggebers mit Dashboard-Zugang.
• Datenarten: Name, E-Mail-Adresse und Geburtstag (nur Tag und Monat) der Karteninhaber (jeweils freiwillig), vom Kunden erfasste Telefonnummer, Kundennummer, Stempel- und Einlösebewegungen mit Zeitpunkt, Standort und Quelle, Zeitpunkt der Einwilligung in den Nähe-Hinweis, Geräte-Kennung als Prüfwert (Hash) bei Beitritt ohne Anmeldung, unbestätigte Beitrittswünsche (Name, E-Mail, Geburtstag, gekürzte IP-Adresse; höchstens 24 Stunden), Zeitpunkt und gekürzte IP-Adresse der Einwilligung sowie Einwilligung in Aktionsnachrichten, von Karteninhabern hochgeladene Hintergrundfotos, Rückmeldungen (Freitext), Geschenke/Gutscheine, Empfehlungscode und -beziehung, Protokoll automatischer Aktionen (inkl. Vergleichsgruppen), Mitteilungstexte, technische Kennungen der Wallet-Registrierung (Apple-Gerätekennung und Push-Token bzw. Google-Objektkennung), Zugangsdaten der Dashboard-Nutzer (Passwort-Hash, Passkey-Öffentlicher-Schlüssel, 2FA-Geheimnis).
• Weitere Auftragsverarbeiter: netcup GmbH (Hosting, Deutschland), ALL-INKL.COM – Neue Medien Münnich (E-Mail-Versand, Deutschland). Für die Auslieferung der Karten werden Apple (Apple Wallet, APNs) und Google (Google Wallet) eingebunden; dorthin gelangen die Inhalte, die auf der Karte erscheinen (einschließlich eines gewählten Hintergrundfotos und der Mitteilungstexte), sowie technische Kennungen. Die vertragliche Einordnung von Apple und Google in der zentralen AVV wird mit der nächsten Fassung ergänzt. Empfänger von Webhooks sind keine Unterauftragnehmer von Uniqor, sondern vom Kunden gewählte Dritte; Anthropic und OpenAI werden für StampBy nicht eingesetzt.
• Nähe-Hinweis: Der Auftragnehmer legt auf Weisung des Auftraggebers dessen Standorte und zusätzliche Orte (Koordinaten des Geschäfts) in die Karten. Standortdaten der Karteninhaber verarbeitet der Auftragnehmer nicht; die Ortung erfolgt ausschließlich auf dem Gerät des Karteninhabers durch Apple bzw. Google. Der Stempelstand erscheint im Hinweis nur bei Einwilligung des Karteninhabers, die der Auftragnehmer mit Zeitstempel speichert und über die Kartenseite widerrufbar macht. Den Wortlaut des Hinweistextes bestimmt der Auftraggeber und verantwortet seine Zulässigkeit.
• Mandantentrennung: Karten werden je Auftraggeber getrennt geführt. Der Auftragnehmer verknüpft Karteninhaber verschiedener Auftraggeber nicht, auch nicht über gleiche E-Mail-Adressen, und bietet keine auftraggeberübergreifende Karten- oder Kundenübersicht an. Bestätigungslinks sind einmalig, werden nur als Prüfwert gespeichert und verfallen nach 24 Stunden.
• Support-Zugriff: Die Plattformverwaltung des Auftragnehmers kann zur Fehlerbehebung und Einrichtung auf das Konto des Auftraggebers zugreifen (Zwei-Faktor-geschützt). Beginn und Ende jedes Zugriffs werden protokolliert; die Inhaber des Kontos erhalten dazu eine E-Mail. Erklärungen des Auftraggebers, etwa die Annahme dieser Vereinbarung, gibt der Auftragnehmer nicht ab.
• Löschung: Der Kunde kann Karteninhaber im Dashboard vollständig löschen (Personendaten, Foto, Rückmeldungen und Geschenke werden entfernt; Bewegungen bleiben ohne Personenbezug), die Daten einer Karte als Auskunft herunterladen und alle Karten als CSV exportieren; die Bewegungen einer Karte sind Teil der Auskunft.

Die Annahme erfolgt im Dashboard unter „Sicherheit & Datenschutz“; Zeitpunkt, Fassung und IP-Adresse werden protokolliert. Für Daten, die Uniqor als eigener Verantwortlicher verarbeitet, gilt die Datenschutzerklärung.