Auftragsverarbeitungsvertrag

Stand: 25. Oktober 2026 · Version 2026-10-25

Dieser Text ist eine Übersetzung des spanischen Originals. Bei Abweichungen zwischen den Fassungen gilt die spanische Fassung.

Dieser Vertrag nach Art. 28 der Verordnung (EU) 2016/679 (DSGVO) und dem spanischen Organgesetz 3/2018 (LOPDGDD) wird zwischen jedem Geschäft, das Fidelizando nutzt, als Verantwortlichem und Javier Arenillas (3CWeb) als Auftragsverarbeiter geschlossen. Das Geschäft akzeptiert ihn bei der Kontoerstellung (oder im Dashboard); Datum, Version und IP-Adresse werden gespeichert.

1. Auftragsverarbeiter

Inhaber

Javier Arenillas

Geschäftsbezeichnung

3CWeb

Spanische Steuernummer (NIF)

52994848L

Anschrift

Calle Castilla y León, 15, portal 1, 3.º C, 28760 Tres Cantos (Madrid), España

E-Mail

info@3cweb.es

Telefon

91 060 30 90

Website

fidelizando.io

2. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet die Daten der Kunden des Geschäfts nur, um ihm den Dienst Fidelizando zu erbringen, solange das Konto aktiv ist, und danach während der Rückgabe- und Löschfrist nach Ziffer 9.

3. Art und Zweck

Hosting der Daten; Ausgabe und Aktualisierung der Karten in Apple Wallet, Google Wallet und der Web-App; Erfassung von Stempeln, Punkten, Besuchen und Einlösungen; Versand der Service-Hinweise und der vom Geschäft eingerichteten Kampagnen an Personen mit Einwilligung; und Anzeige der Statistiken für das Geschäft.

4. Daten und betroffene Personen

Betroffene: Kunden des Geschäfts, die sich für seine Karte anmelden, und Personal des Geschäfts mit Zugang zum Dashboard. Daten: Name, E-Mail oder Telefon, Geburtstag (freiwillig), Kartencode, Aktivität im Programm (Stempel, Punkte, Besuche, Einlösungen), Einwilligungen und IP-Adresse der Anmeldung. Besondere Kategorien von Daten werden nicht verarbeitet.

5. Pflichten des Auftragsverarbeiters

• Daten nur auf dokumentierte Weisung des Geschäfts verarbeiten, also nach den Einstellungen und der Nutzung der Plattform durch das Geschäft.
• Die Vertraulichkeit der zur Verarbeitung befugten Personen sicherstellen.
• Die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO umsetzen: Verschlüsselung der personenbezogenen Kundendaten in der Datenbank, verschlüsselte Verbindung (https), verschlüsselte Passwörter, rollenbasierte Zugriffe, Zwei-Faktor-Authentifizierung für den Super-Administrator, Datensicherungen und Zugriffsprotokolle.
• Daten nicht an Dritte weitergeben, außer an die Unterauftragsverarbeiter nach Ziffer 6 oder aufgrund gesetzlicher Pflicht.
• Das Geschäft bei der Erfüllung der Betroffenenrechte und seiner Pflichten zu Sicherheit, Datenschutz-Folgenabschätzung und Konsultation der Behörde unterstützen.
• Das Geschäft unverzüglich, spätestens innerhalb von 48 Stunden, über jede Verletzung des Schutzes seiner Daten informieren, mit den Angaben, die es für die Meldung braucht.
• Ein Verzeichnis der im Auftrag des Geschäfts durchgeführten Verarbeitungstätigkeiten führen.
• Die zum Nachweis der Einhaltung nötigen Informationen bereitstellen (dieser Vertrag, die Liste der Unterauftragsverarbeiter und die Beschreibung der Sicherheitsmaßnahmen) und, wo gesetzlich vorgeschrieben, eine Prüfung pro Jahr mit 30 Tagen Vorlauf, auf Kosten des Geschäfts und unter Vertraulichkeit, ermöglichen.

6. Unterauftragsverarbeiter

Das Geschäft erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung für folgende Unterauftragsverarbeiter, die vertraglich denselben Pflichten unterliegen:

• Dinahosting, S.L. (Spanien): Hosting, Datenbank und E-Mail-Versand.
• Apple Inc. und Google LLC: Ausgabe der Karte in Apple Wallet und Google Wallet, nur wenn der Kunde sie dort speichert.
• Google LLC (Analytics), nur für die Messung der öffentlichen Website von Fidelizando mit Cookie-Einwilligung: erhält keine Daten der Kunden der Geschäfte.

Über jede Änderung der Unterauftragsverarbeiter informieren wir im Dashboard und per E-Mail mindestens 30 Tage im Voraus (außer in dringenden Fällen aus Sicherheitsgründen oder bei Ausfall eines Anbieters, die sofort mitgeteilt werden). Widerspricht das Geschäft aus Datenschutzgründen und gibt es keine Alternative, kann es ohne Nachteile kündigen. Übermittlungen außerhalb des EWR erfolgen mit den Garantien von Kapitel V DSGVO.

7. Pflichten des Geschäfts (Verantwortlicher)

• Eine Rechtsgrundlage für die Verarbeitung haben und seine Kunden informieren (die App enthält eine Kurzinformation und die Datenschutzerklärung).
• Angebote nur an Personen mit Einwilligung senden und keine Daten ohne Erlaubnis der Betroffenen importieren.
• Die Rechte seiner Kunden erfüllen und die Verarbeitung überwachen.

8. Betroffenenrechte

Wendet sich ein Kunde des Geschäfts an den Auftragsverarbeiter, leitet dieser die Anfrage innerhalb von höchstens 72 Stunden an das Geschäft weiter. Das Geschäft kann die Daten außerdem im Dashboard herunterladen, berichtigen und löschen.

9. Vertragsende

Bei Kündigung werden die Daten nicht automatisch gelöscht: Sie bleiben zum Herunterladen oder zur Reaktivierung des Kontos verfügbar. Der Auftragsverarbeiter löscht sie auf Wunsch des Geschäfts innerhalb von höchstens 30 Tagen, außer Daten, die er gesetzlich gesperrt aufbewahren muss, und anonyme Statistiken.

10. Vorrang

Widersprechen sich dieser Vertrag und die AGB in Bezug auf die Datenverarbeitung, gilt dieser Vertrag. Bei Abweichungen zwischen den Sprachen gilt die spanische Fassung.

11. Haftung

Verwendet der Auftragsverarbeiter die Daten für andere Zwecke, gibt er sie weiter oder verstößt er gegen diesen Vertrag, gilt er für diese Verarbeitung als Verantwortlicher und haftet für die begangenen Verstöße.

Fragen? Schreiben Sie uns an info@3cweb.es oder rufen Sie an unter 91 060 30 90.