Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

Fassung vom 12. Oktober 2026.

Dieser Vertrag ergänzt die Allgemeinen Geschäftsbedingungen (gernda.de/agb) und setzt deren § 16 Abs. 2 um. Die Anlagen 1 bis 3 beschreiben den Stand vom 12.10.2026. Jede Angabe darin ist aus dem Quelltext der Software belegt, nicht aus einer Absichtserklärung abgeleitet. Wo eine Maßnahme noch nicht umgesetzt ist, steht das ausdrücklich dort — eine Anlage, die mehr behauptet, als der Betrieb leistet, nähme dem Verantwortlichen die Grundlage seiner eigenen Entscheidung nach Art. 28 Abs. 1 DSGVO.

Zwischen

AREA UDC Entertainment GmbH Ritterstraße 5, 47805 Krefeld Amtsgericht Krefeld, HRB 19345 vertreten durch den Geschäftsführer Majid Kessab

– nachfolgend „Auftragsverarbeiter" –

und

dem im Kundenkonto hinterlegten Unternehmen

– nachfolgend „Verantwortlicher" –

– gemeinsam die „Parteien" –

§ 1 Gegenstand, Dauer und Rangverhältnis

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Plattform GERNDA als Software-as-a-Service bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Gegenstand, Art, Zweck, Datenarten und Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Der Vertrag beginnt mit dem Hauptvertrag und endet mit ihm. Er kann nicht gesondert gekündigt werden, solange der Hauptvertrag besteht. Die Pflichten aus § 11 (Löschung und Rückgabe) bestehen über das Vertragsende hinaus fort.

(3) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.

(4) Der Verantwortliche bleibt Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er beurteilt die Zulässigkeit der Verarbeitung und wahrt die Rechte der betroffenen Personen.

§ 2 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Das gilt auch für die Übermittlung in ein Drittland, es sei denn, der Auftragsverarbeiter ist dazu nach dem Recht der Union oder eines Mitgliedstaats verpflichtet; in diesem Fall teilt er dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Nutzung der Plattform durch den Verantwortlichen und die von ihm autorisierten Personen gilt als Weisung. Darüber hinausgehende Einzelweisungen erfolgen in Textform an datenschutz@gernda.de. Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform.

(3) Weisungsberechtigt sind die beim Auftragsverarbeiter als Inhaber hinterlegte Person sowie die vom Verantwortlichen in Textform benannten Vertretungen.

(4) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies dem Verantwortlichen unverzüglich mit. Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 3 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der Erhebung von Gästedaten, für die Information der Gäste nach Art. 13 und 14 DSGVO und für die Wirksamkeit eingeholter Einwilligungen.

(2) Der Verantwortliche nutzt die Funktionen der Plattform nur im Rahmen seiner Zwecke. Er gibt insbesondere keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO in Freitextfelder ein; die Plattform ist dafür weder vorgesehen noch ausgelegt.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(4) Der Verantwortliche vergibt Zugänge für sein Team nach dem Grundsatz der Erforderlichkeit und entzieht sie, sobald der Anlass entfällt. Die Plattform stellt dafür abgestufte Rollen bereit (Anlage 2 Nr. 3).

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

(2) Der Auftragsverarbeiter macht die eingesetzten Personen mit den für sie maßgeblichen Datenschutzvorschriften und mit der Weisungsgebundenheit vertraut.

(3) Der Auftragsverarbeiter beschäftigt derzeit keinen Datenschutzbeauftragten, weil die gesetzlichen Voraussetzungen des § 38 BDSG nicht vorliegen. Ansprechstelle in Datenschutzfragen ist datenschutz@gernda.de. Entsteht die Benennungspflicht, teilt der Auftragsverarbeiter die Kontaktdaten unverzüglich mit.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie fortentwickeln, darf das vereinbarte Schutzniveau dabei aber nicht unterschreiten. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anfrage mit.

(3) Anlage 2 benennt auch die Maßnahmen, die noch nicht umgesetzt sind. Der Verantwortliche kann seine Entscheidung nach Art. 28 Abs. 1 DSGVO nur auf dieser Grundlage treffen.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 Satz 2 DSGVO).

(2) Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind unter https://gernda.de/unterauftragnehmer aufgeführt und als Anlage 3 Bestandteil dieses Vertrages. Die Liste weist je Dienst aus, welche Daten dorthin gelangen, wo verarbeitet wird und ob der Dienst tatsächlich im Einsatz ist.

(3) Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, teilt er dies dem Verantwortlichen mindestens 30 Kalendertage vorher in Textform mit.

(4) Der Verantwortliche kann innerhalb von 14 Kalendertagen nach Zugang der Mitteilung aus einem nachvollziehbaren datenschutzrechtlichen Grund in Textform widersprechen. Lässt sich der Einwand nicht einvernehmlich ausräumen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des beabsichtigten Wechsels außerordentlich kündigen; im Voraus gezahlte Entgelte für die Zeit danach werden anteilig erstattet.

(5) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Pflichten, die den hier vereinbarten entsprechen (Art. 28 Abs. 4 DSGVO). Er haftet für dessen Verhalten wie für eigenes. Die hierzu geschlossenen Verträge legt er dem Verantwortlichen auf Verlangen vor.

(6) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, bei denen kein Zugriff auf personenbezogene Daten des Verantwortlichen vorgesehen ist, etwa Telekommunikationsleistungen oder Wartung ohne Datenzugriff.

(7) Der Zustelldienst, über den eine Mitteilung auf das Gerät eines Gastes gelangt, wird durch die Browserwahl des Gastes bestimmt und nicht durch den Auftragsverarbeiter. Seine Rolle ist nach dem konkreten Datenfluss gesondert zu beurteilen.

§ 7 Unterstützung bei Rechten betroffener Personen

(1) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte nach Art. 15 bis 22 DSGVO. Die Plattform stellt dafür bereit:

einen Auskunftsexport je Gast, den der Gast selbst abrufen kann,
einen Gesamtexport des Betriebs in einem strukturierten, maschinenlesbaren Format,
die Anonymisierung einer Kundenidentität auf Verlangen des Gastes: Alias und Kontobezug werden ersetzt, die Karten archiviert, die Buchungszahlen des Betriebs bleiben vollständig,
eine vom Verantwortlichen einstellbare Aufbewahrungsregel, die den Personenbezug archivierter Karten nach Fristablauf entfernt.

(3) Soweit die Unterstützung über die in der Plattform vorhandenen Funktionen hinausgeht und erheblichen Aufwand verursacht, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen. Das gilt nicht, soweit die Unterstützung auf einem Umstand beruht, den der Auftragsverarbeiter zu vertreten hat.

§ 8 Unterstützung nach Art. 32 bis 36 DSGVO, Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen und einer Datenschutz-Folgenabschätzung, soweit die erforderlichen Informationen seinem Verantwortungsbereich entstammen.

(2) Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten dieses Verantwortlichen betrifft, meldet er sie unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform an die hinterlegte Geschäfts-E-Mail-Adresse.

(3) Die Meldung enthält, soweit bekannt: die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Kontaktstelle für Rückfragen. Fehlende Angaben reicht der Auftragsverarbeiter unverzüglich nach.

(4) Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung betroffener Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen.

§ 9 Nachweis und Kontrolle

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Nachweis kann geführt werden durch die jeweils aktuelle Fassung der Anlage 2, durch die Beantwortung eines angemessenen Fragenkatalogs in Textform oder durch Vorlage eines geeigneten Zertifikats oder Prüfberichts, soweit ein solcher vorliegt.

(3) Genügen diese Nachweise im Einzelfall nicht, kann der Verantwortliche nach Ankündigung mit angemessener Frist, grundsätzlich mindestens 14 Kalendertage, zu den üblichen Geschäftszeiten eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Auftragsverarbeiters ist. Die Überprüfung darf den Betrieb nicht unangemessen beeinträchtigen und findet höchstens einmal je Kalenderjahr statt; bei einem konkreten Anlass auch häufiger.

(4) Der Auftragsverarbeiter darf eine Überprüfung verweigern, soweit sie Geschäftsgeheimnisse oder Daten anderer Verantwortlicher offenlegen würde. Er weist in diesem Fall auf einen geeigneten anderen Nachweis hin.

(5) Jede Partei trägt die ihr durch eine Überprüfung entstehenden Kosten selbst. Für den Aufwand einer über Absatz 2 hinausgehenden Überprüfung kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, es sei denn, die Überprüfung deckt einen von ihm zu vertretenden Verstoß auf.

§ 10 Verarbeitung außerhalb der Union

(1) Die Verarbeitung findet im Europäischen Wirtschaftsraum statt. Die Server und die Sicherungen stehen in der Bundesrepublik Deutschland; eine Spiegelung in andere Länder findet nicht statt. Daneben wird der E-Mail-Versand über einen Unterauftragsverarbeiter in Frankreich abgewickelt (Anlage 3).

(2) Eine Verarbeitung durch einen Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen des Kapitels V der DSGVO vorliegen. Die Grundlage wird in Anlage 3 je Dienst ausgewiesen.

(3) Zum Stand dieses Vertrages findet eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums in zwei Fällen statt, beide in Anlage 3 ausgewiesen:

a) Lässt der Verantwortliche die Anschrift einer Filiale in Koordinaten umrechnen, geht diese Anschrift an einen Dienst im Vereinigten Königreich. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Personenbezogene Daten von Gästen werden dabei nicht übermittelt.

b) Die Zustellung von Push-Nachrichten an Beschäftigte des Verantwortlichen läuft über den Push-Dienst des jeweils verwendeten Browsers. Dessen Betreiber bestimmt der Browser, nicht der Auftragsverarbeiter; er sitzt in der Regel in den Vereinigten Staaten. Übermittelt werden die vom Browser erzeugte Zustelladresse und der verschlüsselte Inhalt der Nachricht. Diese Stelle handelt nicht im Auftrag und ist kein Unterauftragsverarbeiter; sie ist Empfängerin einer Übermittlung.

(4) Die in Anlage 3 als „noch nicht angebunden" oder „noch nicht freigeschaltet" gekennzeichneten Dienste in den Vereinigten Staaten sind nicht in Betrieb; vor einer Freischaltung gilt § 6 Abs. 3.

(5) Informationen über die maßgeblichen Rechtsordnungen und die Maßnahmen gegen rechtswidrigen staatlichen Zugriff aus Drittstaaten stehen unter https://gernda.de/datenstandort bereit.

§ 11 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Hauptvertrages bleiben die exportierbaren Daten 90 Kalendertage zum Abruf verfügbar, mindestens jedoch 30 Kalendertage nach Ende eines vereinbarten Übergangszeitraums nach § 19 der AGB.

(2) Nach Ablauf dieser Frist löscht oder anonymisiert der Auftragsverarbeiter die personenbezogenen Daten, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Verantwortliche kann statt der Löschung die Rückgabe verlangen; der Export nach § 7 Abs. 2 genügt dieser Pflicht.

(3) Unterliegen Daten einer gesetzlichen Aufbewahrungspflicht, insbesondere handels- und steuerrechtlichen Fristen, werden sie bis zum Fristablauf aufbewahrt, in der Verarbeitung eingeschränkt und nicht für andere Zwecke genutzt.

(4) Sicherungskopien werden technisch bedingt zeitversetzt überschrieben. Bis dahin werden die darin enthaltenen Daten in der Verarbeitung eingeschränkt und ausschließlich zur Wiederherstellung oder zur Erfüllung zwingender Pflichten genutzt.

(5) Das unveränderliche Buchungsprotokoll der Plattform bleibt als Nachweis erhalten; sein Personenbezug wird mit der Löschung der zugehörigen Kundenidentität entfernt.

(6) Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen in Textform.

§ 12 Haftung

(1) Für die Haftung der Parteien untereinander gilt § 20 der AGB. Art. 82 DSGVO bleibt unberührt.

(2) Der interne Ausgleich zwischen den Parteien richtet sich nach Art. 82 Abs. 5 DSGVO.

§ 13 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Das gilt auch für die Aufhebung dieses Formerfordernisses.

(2) Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Krefeld, soweit § 25 Abs. 2 der AGB dies zulässt.

Anlage 1 — Gegenstand der Verarbeitung

Stand: 11.10.2026

1. Art und Zweck der Verarbeitung

Betrieb eines digitalen Treueprogramms für den Verantwortlichen: Ausgabe und Verwaltung digitaler Kundenkarten, Erfassung von Stempeln oder Punkten, Verwaltung und Einlösung von Prämien, Auswertung des eigenen Programms sowie — in den dafür vorgesehenen Tarifen — Ansprache der eigenen Gäste über die von ihnen freigeschalteten Kanäle.

Die Verarbeitung erfolgt automatisiert. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung gegenüber einer betroffenen Person im Sinne des Art. 22 DSGVO findet nicht statt.

2. Kategorien betroffener Personen

Kategorie	Erläuterung
Gäste des Verantwortlichen	Personen, die eine digitale Treuekarte des Verantwortlichen nutzen
Beschäftigte des Verantwortlichen	Personen mit einem Team- oder Inhaberzugang

3. Arten personenbezogener Daten

3.1 Gäste

Datenart	Anmerkung
Öffentlicher Alias und Kartennummer	Die Plattform führt Gäste grundsätzlich unter einem Alias, nicht unter Klardaten.
Geburtsdatum	Freiwillig, nur wenn der Gast es angibt.
Stempel-, Punkte- und Prämienstand	—
Buchungen	Zeitpunkt, Standort, Art und Höhe der Veränderung, auslösende Quelle
Einlösungen	Zeitpunkt, Prämie, Status
Gerätebindung	Gehashter Gerätetoken, gehashter Wiederherstellungscode, Browserfamilie, Zeitpunkte. Der Klartext des Tokens wird nicht gespeichert.
E-Mail-Adresse	Nur, wenn der Gast ein Konto anlegt; sonst nicht vorhanden.
Spracheinstellung	—
Einwilligungen	Kanal, Status, Zeitpunkt, Quelle und Nachweis
Standortkoordinaten des Geräts	Nur, wenn der Gast den Standort für die Umkreissuche ausdrücklich freigibt. Siehe Nummer 3.4.

3.2 Beschäftigte des Verantwortlichen

Datenart	Anmerkung
E-Mail-Adresse und Anzeigename	—
Rolle und Standortzuordnung	Inhaber, Verwaltung, Leitung oder Bedienung
Status und Zeitstempel	Anlage, Änderung, letzte Anmeldung
Gehashtes Anmeldegeheimnis	Verfahren scrypt; ein Klartext ist technisch nicht hinterlegt.
Protokoll von Änderungen	Wer hat wann was mit welcher Begründung geändert; nur für Änderungen an Tarif, Sperre, Preis und Support.
Push-Abonnement	Zustelladresse des Browsers und die zugehörigen Schlüssel; nur bei erteilter Einwilligung. Die Zustellung läuft über den Push-Dienst des jeweiligen Browserherstellers (Anlage 3).

3.3 Was die Plattform nicht verarbeitet

Keine Zahlungsdaten der Gäste. Die Plattform wickelt keine Zahlungen zwischen Gast und Verantwortlichem ab.
Keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO.
Kein Standortverlauf. Die Koordinaten eines Geräts werden nicht gespeichert und nicht fortgeschrieben; zum Umfang siehe Nummer 3.4.
Keine kanalübergreifenden Werbeprofile. Werbung wird nach Platzierung und Branche ausgespielt, nicht nach dem Verhalten eines Gastes.

3.4 Standortdaten in der Umkreissuche

Der Ablauf:

Gibt ein Gast den Standort frei, ermittelt der Browser die Koordinaten des Geräts und übergibt sie der Gästeansicht.
Die Gästeansicht sendet sie als Abfrageparameter lat und lon an die Schnittstellen /v1/discover und /v1/account/cards.
Der Server berechnet die Entfernung und liefert sie als Zahl zurück. In der Datenbank werden die Koordinaten des Geräts nicht gespeichert.
Auch nicht in den Zugriffsprotokollen. Die Auslieferung hält die aufgerufene Adresse fest; die beiden Parameter lat und lon werden dabei entfernt, bevor eine Zeile geschrieben wird. Die Protokolle rotieren fortlaufend (je Dienst höchstens fünf Dateien von je 10 MB) und dienen allein dem Betrieb der Anlage und der Abwehr von Angriffen.

Ohne Freigabe wird keine Koordinate erhoben; Suche und Branchenfilter arbeiten dann ohne Entfernung.

Die Koordinaten der Filialen des Verantwortlichen werden an das Gerät ausgeliefert, damit die Gästeansicht sie auf einer Karte zeigen kann. Das sind Betriebsdaten des Verantwortlichen, keine personenbezogenen Daten eines Gastes.

4. Dauer der Verarbeitung

Für die Dauer des Hauptvertrages, danach nach Maßgabe des § 11 dieses Vertrages.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 11.10.2026. Jede Angabe ist aus dem Quelltext belegt. Nicht umgesetzte Maßnahmen stehen unter Nummer 9 und sind nicht als bestehend dargestellt.

1. Vertraulichkeit — Zutrittskontrolle

Die Server stehen in einem Rechenzentrum der Hetzner Online GmbH in Deutschland. Der Auftragsverarbeiter betreibt kein eigenes Rechenzentrum; die physischen Maßnahmen verantwortet der Unterauftragsverarbeiter nach Anlage 3.

Dessen technische und organisatorische Maßnahmen (Fassung 1.2 vom 16.02.2026) weisen unter anderem aus: elektronisches Zutrittskontrollsystem mit Protokollierung, flächendeckende Videoüberwachung, Hochsicherheitszaun mit Übersteig- und Untergrabenschutz um den gesamten Rechenzentrumspark sowie eine Richtlinie zum Besuchermanagement. Der Anbieter ist nach ISO 27001 zertifiziert, verfügt über ein BSI-C5-Typ-2-Testat und lässt seine Maßnahmen jährlich durch einen externen Dienstleister überprüfen.

Diese Angaben stammen aus der Anlage zum Vertrag mit dem Unterauftragsverarbeiter und nicht aus eigener Anschauung. Sie werden dem Verantwortlichen auf Verlangen vorgelegt.

2. Vertraulichkeit — Zugangskontrolle

Anmeldung ausschließlich über verschlüsselte Verbindungen (TLS, automatisch erneuerte Zertifikate).
Anmeldegeheimnisse und Einmalkennungen werden mit scrypt und zufälligem Salz gespeichert; die Kostenparameter sind in der Kodierung hinterlegt und anhebbar. Klartext wird weder gespeichert noch protokolliert.
Schutz gegen systematisches Durchprobieren: Fehlversuche werden je Bereich und Subjekt in einem gleitenden Zeitfenster gezählt; bei Erreichen der Schwelle folgt eine zeitliche Sperre.
Sitzungen laufen über ein HttpOnly-Cookie mit SameSite-Bindung, je Oberfläche getrennt. Eine Anmeldung im Inhaberbereich begründet keine Anmeldung in der Team- oder Gastoberfläche.
Nachschlagewerte für Geräte, Sitzungen und Kartencodes werden als HMAC mit einem serverseitigen Schlüssel und einem bereichsgebundenen Präfix abgelegt; Vergleiche erfolgen in konstanter Zeit.

3. Vertraulichkeit — Zugriffskontrolle

Vier abgestufte Rollen: Inhaber, Verwaltung, Leitung, Bedienung. Je Betrieb besteht genau ein Inhaberzugang, technisch erzwungen.
Rolle, Mandant und Standortrechte werden ausschließlich serverseitig aus der Sitzung aufgelöst. Kein Endpunkt übernimmt eine Berechtigungsangabe vom Client.
Der Gesamtexport des Betriebs ist dem Inhaber vorbehalten.
Gästedaten erscheinen gegenüber dem Betrieb grundsätzlich unter Alias und Kartennummer, nicht unter Klardaten.

4. Vertraulichkeit — Trennungskontrolle

Mandantenfähigkeit über eine Betriebskennung in jeder fachlichen Tabelle, abgesichert durch zusammengesetzte Fremdschlüssel; ein Datensatz kann die Betriebsgrenze nicht überschreiten.
Ein Zugriff über die Mandantengrenze wird wie „nicht gefunden" beantwortet. Ein fremder Betrieb erfährt nicht einmal, dass eine Ressource existiert.
Eine automatische Prüfung im Bauprozess stellt sicher, dass kein Codepfad ungefragt eine Verbindung zu einem fremden Server aufbaut.

5. Integrität — Weitergabe- und Eingabekontrolle

Jede Verbindung erfolgt über TLS. Gesetzt werden Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options: DENY, Referrer-Policy und Cross-Origin-Opener-Policy.
Content-Security-Policy für alle Oberflächen seit dem 11.10.2026: Skripte nur vom eigenen Ursprung, weder unsafe-inline noch unsafe-eval; dazu object-src, base-uri und frame-ancestors auf none und form-action auf den eigenen Ursprung. Eine eingeschleuste Skriptzeile wird dadurch nicht ausgeführt. Für Stilangaben ist unsafe-inline zugelassen, weil die Gestaltungsschicht als <style> in das Dokument gerendert wird; ein fester Prüfwert in der Auslieferung zerbräche bei der nächsten Gestaltungsänderung im laufenden Betrieb. Das ist eine bewusste Abwägung und keine Nachlässigkeit: Der Schutz vor eingeschleustem Code liegt bei der Skriptregel.
Das Buchungsprotokoll ist unveränderlich: Änderung und Löschung sind auf Datenbankebene gesperrt. Eine Korrektur erfolgt als Gegenbuchung, nicht durch Überschreiben.
Das Änderungsprotokoll für Tarif-, Sperr-, Preis- und Supportänderungen hält Akteur, Zeitpunkt, Begründung sowie Vorher- und Nachherwert fest und ist gegen Änderung und Löschung gesperrt. Ohne Begründung wird die Änderung abgewiesen.
Die Annahme der Vertragsbedingungen durch den Inhaber wird unveränderlich mit Fassung und Zeitstempel gespeichert.

6. Verfügbarkeit und Belastbarkeit

Sicherung der Datenbank vor jedem Aufspielen einer neuen Fassung, einschließlich Prüfsumme und Manifest; zusätzlich zeitgesteuert und jederzeit manuell auslösbar. Das Alter der jüngsten Sicherung wird alle fünf Minuten geprüft; überschreitet es 36 Stunden, löst das eine Meldung aus.
Wiederherstellung über ein eigenes Werkzeug mit Integritätsprüfung; der Ablauf ist dokumentiert und erprobt.
Gemessene Belastbarkeit: 1.898 Buchungen je Sekunde; Auswertung bei 5.000 Gästekarten unter 300 Millisekunden.
Zustandsprüfung (/v1/ready) vor dem Umschalten auf eine neue Fassung; schlägt sie fehl, wird nicht umgeschaltet.

7. Verfahren zur regelmäßigen Überprüfung

221 automatische Testdateien mit 2.248 Tests, Typprüfung und Stilprüfung laufen vor jeder Auslieferung.
Fünf eigene Prüfungen sichern Schreibweisen, Gestaltungsregeln, Gestaltungswerte und die Abwesenheit ungefragter Fremdverbindungen.
Abhängigkeiten werden auf bekannte Schwachstellen geprüft. Stand 11.10.2026 besteht eine bekannte Schwachstelle in einer Bibliothek, deren betroffene Funktion im Betrieb nicht aufgerufen wird; ein Test hält diese Abgrenzung fest.

8. Datenminimierung und Löschung

Gäste werden grundsätzlich unter einem Alias geführt. Eine E-Mail-Adresse entsteht nur, wenn der Gast selbst ein Konto anlegt.
Der Verantwortliche kann je Programm eine Aufbewahrungsfrist setzen. Nach Ablauf entfernt die Plattform den Personenbezug archivierter Karten, ohne die Buchungszahlen zu verändern.
Die Kundenidentität bleibt davon unberührt, weil dieselbe Person bei einem anderen Betrieb weiter sammeln kann. Getrennt wird nur die Verbindung.
Der Datenschutzexport des Betriebs enthält keine E-Mail-Adressen und keine Klardaten von Gästen — weder von Gästen noch von Beschäftigten. Ein Test prüft das, indem er den gesamten Export nach einem @-Zeichen durchsucht.
Seit dem 11.10.2026 umfasst er dafür alles, was ein Anbieterwechsel braucht: Standorte mit Anschrift und Öffnungszeiten, Programme mit allen Sammelregeln, Prämien, Gestaltung, Rollen mit ihren Standorten, Einwilligungen je Kanal samt Nachweis sowie Karten, Buchungen und Einlösungen. Bilder werden mit Zweck, Maßen, SHA-256-Prüfsumme und Abrufpfad benannt statt eingebettet.

9. Was noch nicht umgesetzt ist

Diese Nummer gehört zur Anlage. Sie zu weglassen hieße, ein Schutzniveau zu behaupten, das nicht besteht.

Maßnahme	Stand
Verschlüsselung der Datenbank im Ruhezustand	Es besteht keine. Die technischen und organisatorischen Maßnahmen des Serveranbieters (Anlage 2 zu dessen AV-Vertrag, Fassung 1.2 vom 16.02.2026) weisen „Verschlüsselung der Daten (at rest)" ausdrücklich als „Obliegt Auftraggeber" aus. Für die laufende Datenbank ist sie nicht umgesetzt, und zwar aus einem benennbaren Grund: Der Dienst muss sie fortlaufend lesen und schreiben, ihr Schlüssel müsste also auf derselben Maschine liegen. Ein Schlüssel neben dem Schloss ist gegenüber dem Betreiber der Maschine keine Verschlüsselung. Eine Vollverschlüsselung des Datenträgers würde zudem bei jedem Neustart eine Eingabe verlangen und den unbeaufsichtigten Wiederanlauf aufheben.
Verschlüsselung der Sicherungen im Ruhezustand	Umgesetzt seit dem 13.10.2026. Jede Sicherung wird mit AES-256-GCM verschlüsselt; der zugehörige Schlüssel wird mit RSA-OAEP (SHA-256, 4096 Bit) für einen öffentlichen Schlüssel verschlüsselt und der Datei vorangestellt. Auf dem Server liegt nur der öffentliche Schlüssel: Er kann verschlüsseln, nicht entschlüsseln. Der private Schlüssel liegt ausschließlich beim Anbieter dieser Plattform, nicht auf dem Server und nicht beim Serveranbieter. Eine unverschlüsselte Sicherung entsteht dabei nicht — die Klartextdatei wird nach dem Verschlüsseln entfernt. Jede nachträgliche Änderung an einer Sicherung wird beim Entschlüsseln erkannt und führt zum Abbruch.
Auslagerung der Sicherungen	Die Sicherungen liegen weiterhin auf demselben Server wie die Datenbank; ein Plattenausfall träfe beide. Seit dem 13.10.2026 sind sie jedoch verschlüsselt, sodass eine Auslagerung an einen zweiten Ort keinen lesbaren Bestand dorthin trägt. Die Auslagerung selbst ist vorgesehen.
Überwachung von aussen	Seit dem 12.10.2026 prüft ein Wächter alle fünf Minuten Dienst, Bereitschaft, Plattenplatz und Alter der Sicherung und meldet jeden Wechsel per E-Mail. Er läuft jedoch auf demselben Server: Einen Totalausfall der Maschine kann er nicht melden. Eine Prüfung von aussen ist vorgesehen.

Anlage 3 — Unterauftragsverarbeiter

Stand: 11.10.2026. Maßgeblich ist die jeweils aktuelle Fassung unter https://gernda.de/unterauftragnehmer; sie weist zusätzlich je Dienst aus, welche Daten dorthin gelangen.

Unternehmen	Zweck	Ort	Stand
Hetzner Online GmbH	Server und Betrieb	Deutschland	im Einsatz
Sendinblue SAS (Brevo)	E-Mail-Versand	Frankreich	im Einsatz
STRATO GmbH	Domain und E-Mail-Empfang	Deutschland	im Einsatz
OpenStreetMap Foundation (Nominatim)	Anschrift einer Filiale in Koordinaten umrechnen; keine Gästedaten	Vereinigtes Königreich	nur auf Anforderung des Verantwortlichen
Mollie B.V.	Zahlungsabwicklung gegenüber dem Verantwortlichen; keine Gästedaten	Niederlande	noch nicht angebunden
Apple Inc.	Karte in Apple Wallet	Vereinigte Staaten	noch nicht freigeschaltet
Google LLC	Karte in Google Wallet	Vereinigte Staaten	noch nicht freigeschaltet

Verträge mit den Unterauftragsverarbeitern. Mit jedem im Einsatz befindlichen Unterauftragsverarbeiter besteht ein eigener Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die dort vereinbarten technischen und organisatorischen Maßnahmen sind Bestandteil dieser Verträge und werden dem Verantwortlichen auf Verlangen vorgelegt.

Empfänger, die keine Unterauftragsverarbeiter sind

Diese Stellen erhalten Daten, handeln dabei aber nicht im Auftrag. Ein Vertrag nach Art. 28 DSGVO ist mit ihnen nicht zu schließen; sie sind hier aufgeführt, weil der Verantwortliche wissen muss, wohin Daten gelangen.

Stelle	Anlass	Ort	Daten
Push-Dienst des jeweiligen Browsers (z. B. Google LLC für Chrome, Mozilla Corporation für Firefox, Apple Inc. für Safari)	Zustellung einer Push-Nachricht an Beschäftigte des Verantwortlichen, nur bei erteilter Einwilligung	in der Regel Vereinigte Staaten	die vom Browser erzeugte Zustelladresse und der verschlüsselte Inhalt der Nachricht

Zum Push-Dienst. Welcher Dienst angesprochen wird, bestimmt der Browser des Beschäftigten, nicht der Auftragsverarbeiter: Die Zustelladresse entsteht im Browser und enthält die Adresse des Dienstes. Eine Auswahl oder ein Ausschluss einzelner Dienste ist technisch nicht möglich, ohne Push insgesamt abzuschalten. Der Inhalt der Nachricht ist Ende-zu-Ende verschlüsselt (Verfahren nach RFC 8291); der Dienst kann ihn nicht lesen, kennt aber Zustelladresse, Zeitpunkt und Umfang. Gästedaten sind nicht betroffen — in der Gästeansicht gibt es keine Push-Anmeldung.

Push-Nachrichten werden nur zugestellt, wenn der Betreiber ein VAPID-Schlüsselpaar hinterlegt hat. Ist keines hinterlegt, findet keine Übermittlung statt.

Zum Vereinigten Königreich: Es besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Übermittelt werden ausschließlich Anschriften von Betriebsstätten des Verantwortlichen, keine personenbezogenen Daten von Gästen.

Zu den Vereinigten Staaten: Beide Dienste sind nicht freigeschaltet; es findet derzeit keine Übermittlung statt. Vor einer Freischaltung gilt das Verfahren nach § 6 Abs. 3 und 4, und die Grundlage der Übermittlung wird in dieser Anlage ausgewiesen.

Stand: 12. Oktober 2026.