Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (AVV)
nach Art. 28 DSGVO · Version 2 · Stand 29.10.2026
Dieser Vertrag gilt für alle Kunden von Prämienwerk ab der Einrichtung eines Testzugangs, spätestens mit Vertragsschluss. Als PDF speichern Sie ihn über die Druckfunktion Ihres Browsers (Ziel „Als PDF speichern“). Fragen Ihrer Datenschutz- oder IT-Abteilung beantworten wir schriftlich unter kontakt@praemienwerk.de; einen Überblick über unsere Maßnahmen finden Sie unter Sicherheit und Datenschutz.
Vertragsparteien
Verantwortlicher (nachfolgend „Auftraggeber“): das Unternehmen, das mit Prämienwerk einen Vertrag über ein Prämienprogramm schließt oder einen Testzugang einrichtet. Name, Anschrift, Vertretung und die Kontaktstelle nach § 4 Abs. 4 ergeben sich aus dem Hauptvertrag oder aus den Angaben bei der Einrichtung des Zugangs.
Auftragsverarbeiter (nachfolgend „Auftragnehmer“): Semih Inac, Prämienwerk (Einzelunternehmen), Glogauerstr. 14, 76139 Karlsruhe. E-Mail für Datenschutzanfragen und Meldungen: kontakt@praemienwerk.de
Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zugrunde liegenden Vertrag über den Betrieb des Prämienprogramms (nachfolgend „Hauptvertrag“). Er kann schriftlich oder in einem elektronischen Format geschlossen werden (Art. 28 Abs. 9 DSGVO), auch durch Bestätigung bei der Einrichtung eines Testzugangs.
§ 1 Gegenstand, Art und Zweck der Verarbeitung
(1) Gegenstand des Auftrags ist der Betrieb eines Prämienprogramms für Mitarbeitende, Vertriebs- oder Geschäftspartner des Auftraggebers durch den Auftragnehmer. Dies umfasst insbesondere:
• Verwaltung von Teilnehmenden, Programmen und Zugängen,
• Führung eines Punktekontos je Teilnehmer als fortlaufende Buchungsliste,
• Betrieb eines Prämienshops und Abwicklung von Einlösungen über angebundene Lieferanten,
• Support für Teilnehmende und Auftraggeber,
• Reporting, Abrechnung sowie Auswertungen für Lohnabrechnung und Steuern (z. B. Sachbezugs- und Pauschalierungswerte),
• soweit im Hauptvertrag vereinbart: Entgegennahme und Prüfung von Belegen (z. B. Einkaufsrechnungen), aus denen Punkte entstehen.
(2) Die Verarbeitung erfolgt ausschließlich zu diesen Zwecken und im dafür erforderlichen Umfang. Für eigene Zwecke verarbeitet der Auftragnehmer die Daten nicht; ausgenommen sind die Abrechnung gegenüber dem Auftraggeber und die Erfüllung eigener gesetzlicher Pflichten (§ 12 Abs. 2).
(3) Datenbank und Dateiablage befinden sich in der AWS-Region Frankfurt am Main (eu-central-1); die Serverfunktionen der Anwendung laufen in der Vercel-Region Frankfurt (fra1). Einzelne Unterauftragsverarbeiter verarbeiten Daten auch außerhalb der EU, insbesondere in den USA (Auslieferung über das weltweite Netz von Vercel, Protokolle und Metadaten des E-Mail-Versands bei Resend, Betriebs- und Supportzugriffe von Supabase). Übermittlungen erfolgen nur an die in Anlage 3 genannten Stellen und nur unter den Voraussetzungen von § 9.
§ 2 Dauer
Dieser Vertrag gilt für die Laufzeit des Hauptvertrags und darüber hinaus, bis alle Daten nach § 12 zurückgegeben oder gelöscht sind. Er gilt auch für Daten, die vor Abschluss des Hauptvertrags in einem Testzugang verarbeitet werden.
§ 3 Art der Daten und Kategorien betroffener Personen
Art der Daten und Kategorien der betroffenen Personen ergeben sich aus Anlage 1. Werden im Programm des Auftraggebers zusätzliche Daten verarbeitet, ergänzen die Parteien Anlage 1 in Textform.
§ 4 Rechte und Pflichten des Auftraggebers
(1) Der Auftraggeber ist im datenschutzrechtlichen Sinn allein Verantwortlicher für die Verarbeitung der Daten seiner Teilnehmenden. Er ist für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Betroffenenrechte verantwortlich.
(2) Der Auftraggeber erteilt Weisungen grundsätzlich in Textform. Mündliche Weisungen bestätigt er unverzüglich in Textform. Weisungen im laufenden Betrieb können auch über die im System bereitgestellten Funktionen erfolgen (z. B. Anlegen, Sperren und Reaktivieren von Teilnehmenden durch berechtigte Kunden-Administratoren). Löschungen und Anonymisierungen führt der Auftragnehmer auf Weisung in Textform aus.
(3) Der Auftraggeber benennt dem Auftragnehmer die zur Weisung berechtigten Personen.
(4) Der Auftraggeber benennt eine Kontaktstelle für Meldungen nach § 11 (Name, E-Mail, Telefon) und teilt Änderungen unverzüglich in Textform mit.
(5) Der Auftraggeber informiert die Teilnehmenden nach Art. 13 und 14 DSGVO. Der Auftragnehmer stellt dafür auf Wunsch eine Vorlage bereit.
§ 5 Weisungsbindung
(1) Der Auftragnehmer verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation. Ist er nach dem Recht der Union oder eines Mitgliedstaats zu einer weitergehenden Verarbeitung verpflichtet, teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter mit den dort genannten Garantien gilt als Weisung.
(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert.
§ 6 Technische und organisatorische Maßnahmen
(1) Der Auftragnehmer trifft die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Sie sind in Anlage 2 beschrieben.
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie fortentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird. Die jeweils aktuelle Fassung der Anlage 2 stellt er dem Auftraggeber auf Anfrage bereit.
§ 7 Vertraulichkeit
Der Auftragnehmer ist Einzelunternehmer und verarbeitet die Daten selbst. Setzt er weitere Personen ein, verpflichtet er sie vor dem ersten Zugriff in Textform auf die Vertraulichkeit und auf die Verarbeitung nur nach Weisung; die Verpflichtung gilt über das Ende der Tätigkeit hinaus. Er führt eine Liste der Personen mit Zugriff auf Auftragsdaten und teilt sie dem Auftraggeber auf Anfrage mit.
§ 8 Unterauftragsverhältnisse
(1) Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Bei Vertragsschluss sind die in Anlage 3 genannten Unterauftragsverarbeiter genehmigt.
(2) Der Auftragnehmer informiert den Auftraggeber mindestens 14 Tage vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters in Textform. Der Auftraggeber kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen in Textform widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wechsels ohne Kosten kündigen.
(3) Der Auftragnehmer schließt mit jedem Unterauftragsverarbeiter einen Vertrag nach Art. 28 Abs. 4 DSGVO mit im Wesentlichen gleichwertigem Schutzniveau. Mit Prämienlieferanten schließt er diesen Vertrag vor Aktivierung des jeweiligen Lieferanten im Programm des Auftraggebers. Für Anbieter mit Standardbedingungen erkennt der Auftraggeber an, dass deren Bedingungen gelten und Kontrollen über deren Prüfberichte und Zertifikate erfolgen.
(4) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für deren Einhaltung (Art. 28 Abs. 4 Satz 2 DSGVO).
§ 9 Drittlandübermittlung
Übermittlungen in Drittländer erfolgen nur an die in Anlage 3 genannten Unterauftragsverarbeiter und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. des EU-US Data Privacy Framework für dort zertifizierte Empfänger) oder der EU-Standardvertragsklauseln. Entfällt ein Angemessenheitsbeschluss, stützt der Auftragnehmer die Übermittlung auf die Standardvertragsklauseln oder beendet sie.
§ 10 Unterstützung des Auftraggebers
(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 15 bis 22 DSGVO). Teilnehmende können eine Auskunft über ihre Daten selbst herunterladen; auf Anfrage erstellt der Auftragnehmer sie für den Auftraggeber. Löschungen setzt der Auftragnehmer als Anonymisierung um: personenbezogene Angaben werden entfernt, Buchungsbeträge und Zeitpunkte bleiben erhalten, soweit der Auftraggeber sie für seine Aufbewahrungspflichten benötigt.
(2) Der Auftragnehmer unterstützt den Auftraggeber ferner bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
(3) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter.
(4) Für Unterstützungsleistungen, die über die im System bereitgestellten Funktionen hinausgehen und nicht auf einem Verstoß des Auftragnehmers beruhen, kann der Auftragnehmer nach vorheriger Absprache in Textform eine angemessene Vergütung verlangen.
§ 11 Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragnehmer meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Kenntnis, in Textform an die Kontaktstelle nach § 4 Abs. 4. Liegen nicht alle Angaben nach Art. 33 Abs. 3 DSGVO vor, meldet er zunächst die bekannten und reicht die übrigen unverzüglich nach. Er dokumentiert jede Verletzung, auch wenn sie nicht gemeldet werden muss.
§ 12 Rückgabe und Löschung nach Vertragsende
(1) Nach Ende der Leistungen aus dem Hauptvertrag, einschließlich einer dort vereinbarten Einlösefrist für offene Punkte, stellt der Auftragnehmer dem Auftraggeber auf Wunsch innerhalb von 30 Tagen eine Kopie der Daten in einem gängigen maschinenlesbaren Format (CSV oder JSON) bereit. Spätestens 60 Tage nach Ende der Leistungen löscht er alle personenbezogenen Daten des Auftraggebers einschließlich Kopien und bestätigt dies in Textform.
(2) Ausgenommen sind Daten, die der Auftragnehmer selbst aufbewahren muss, insbesondere seine Rechnungen an den Auftraggeber und die zugehörigen Buchungsbelege (§ 147 AO, § 257 HGB). Sie werden für jede andere Verwendung gesperrt und nach Fristablauf gelöscht.
(3) Eine Aufbewahrung über das Vertragsende hinaus für Zwecke des Auftraggebers, etwa für Unterlagen zur Lohnsteuer, vereinbaren die Parteien gesondert in Textform.
(4) Sicherungen beim Datenbank-Dienstleister werden mit Ablauf ihrer Aufbewahrungsdauer (Anlage 2 Nr. 3) überschrieben.
§ 13 Nachweise und Kontrollen
(1) Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anfrage durch geeignete Unterlagen nach, insbesondere durch die aktuelle Anlage 2, schriftliche Antworten auf Fragebögen sowie Prüfberichte und Zertifikate der Unterauftragsverarbeiter.
(2) Reichen diese Nachweise im Einzelfall nicht aus, kann der Auftraggeber selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragnehmers ist, eine Kontrolle durchführen. Sie ist mindestens 30 Tage vorher in Textform anzukündigen, findet zu üblichen Geschäftszeiten statt und höchstens einmal im Kalenderjahr, es sei denn, ein konkreter Anlass oder eine Aufsichtsbehörde verlangt sie.
(3) Jede Partei trägt ihre eigenen Kosten. Beansprucht eine Kontrolle mehr als einen Arbeitstag des Auftragnehmers, verständigen sich die Parteien vorher in Textform über die Kosten. Das gilt nicht für Kontrollen wegen eines Verstoßes des Auftragnehmers.
§ 14 Haftung
(1) Für Ansprüche betroffener Personen gilt Art. 82 DSGVO.
(2) Im Verhältnis der Parteien gelten die Haftungsregelungen des Hauptvertrags (Abschnitt „Haftung“ der Allgemeinen Geschäftsbedingungen von Prämienwerk), soweit Art. 82 DSGVO nicht zwingend etwas anderes vorsieht.
(3) Der Rückgriff nach Art. 82 Abs. 5 DSGVO bleibt unberührt.
§ 15 Schlussbestimmungen
(1) Änderungen und Ergänzungen bedürfen der Textform.
(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.
(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(4) Es gilt deutsches Recht.
Anlage 1: Kategorien betroffener Personen und Daten
Kategorien betroffener Personen
• Teilnehmende des Prämienprogramms (Mitarbeitende, Vertriebs- oder Geschäftspartner des Auftraggebers; bei Geschäftspartnern auch Inhaber und Beschäftigte von Partnerbetrieben),
• Ansprechpersonen und Nutzer des Auftraggebers (Kunden-Administratoren, Teamleitungen, prüfende Personen),
• Empfängerinnen und Empfänger von Prämien, soweit nicht mit den Teilnehmenden identisch,
• Dritte, deren Angaben auf eingereichten Belegen stehen (z. B. Endkunden, Baustellenadressen, Ansprechpersonen bei Händlern), soweit Belege verarbeitet werden.
Kategorien personenbezogener Daten
| Kategorie | Beispiele |
|---|---|
| Stammdaten | Name (soweit erfasst), E-Mail-Adresse, Personalnummer, Programmzuordnung, Status, Zeitpunkte von Anlage und Einladung |
| Beschäftigungs- und Abrechnungsangaben (soweit vom Auftraggeber geliefert) | Lohngruppe, Kostenstelle, Abteilung, Beschäftigungsbeginn und -ende, Land, Steuerwohnsitz, sozialversicherungsrechtliche Behandlung, Notizen der Verwaltung |
| Kontodaten | Login-Konto (E-Mail-Adresse, Anzeigename), Passwort als Hash, sofern gesetzt, Faktor der Zwei-Faktor-Anmeldung, Anmeldezeitpunkte und IP-Adressen in den Protokollen des Authentifizierungsdienstes |
| Punktedaten | Buchungen, Kontostand, Buchungsanlässe, Kampagnen |
| Bestell- und Lieferdaten | eingelöste Prämien, Bestellstatus, Name und Lieferanschrift der empfangenden Person, Sendungsnummern, Gutscheincodes |
| Nutzungsdaten im Prämienshop | Warenkorb, Merkliste, Benachrichtigungen und deren Lesestatus |
| Kommunikationsdaten | Support-Anfragen und Nachrichten, E-Mails an den Auftragnehmer |
| Steuer- und Lohndaten | Sachbezugswerte, geldwerter Vorteil, Bemessungsgrundlagen für Pauschalsteuer und Sozialversicherung, Zuflusszeitpunkte, Prüfstatus der 50-Euro-Freigrenze |
| Belegdaten (nur wenn im Hauptvertrag vereinbart) | hochgeladene Belege als Bild oder PDF und die daraus erfassten Angaben (Händler, Rechnungsnummer, Rechnungsdatum, Produkte, Mengen, Prüfstatus); Belege können Preise und Angaben Dritter enthalten |
| Technische Daten | Protokoll- und Fehlerdaten, IP-Adressen zur Missbrauchsabwehr |
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)
Werden nicht verarbeitet. Der Auftraggeber stellt sicher, dass solche Daten nicht übermittelt werden, auch nicht in Freitextfeldern.
Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Stand 29.10.2026. Der Auftragnehmer hält diese Anlage aktuell (§ 6).
1. Vertraulichkeit
Zutrittskontrolle: Kein eigener Serverbetrieb. Die Daten liegen in Rechenzentren der Amazon Web Services in Frankfurt am Main (Zertifizierung nach ISO/IEC 27001), betrieben über Supabase.
Zugangskontrolle: Anmeldung per einmaligem E-Mail-Link oder mit Passwort (mindestens 8 Zeichen); Passwörter werden nur als Hash beim Authentifizierungsdienst gespeichert. Für Konten des Auftragnehmers mit mandantenübergreifendem Zugriff ist ein zweiter Faktor (TOTP) verpflichtend; ohne bestätigten zweiten Faktor ist die Verwaltungsoberfläche nicht nutzbar. Kunden-Administratoren können den zweiten Faktor für ihr Konto aktivieren.
Zugriffskontrolle: Rollen mit getrennten Bereichen (Teilnehmende, Teamleitungen, Kunden-Administratoren, Auftragnehmer) und nur den für die Aufgabe nötigen Rechten. Row-Level-Security in der Datenbank begrenzt den Zugriff von Nutzerkonten auf den eigenen Mandanten. Der Dienstschlüssel mit vollem Datenbankzugriff wird ausschließlich serverseitig verwendet. Zugriff auf Auftragsdaten haben nur der Auftragnehmer und nach § 7 verpflichtete Personen.
KI-Werkzeuge: Der Auftragnehmer setzt KI-gestützte Werkzeuge nur ohne Zugriff auf personenbezogene Daten der Auftraggeber ein.
Trennungskontrolle: Mandantenbezogene Tabellen tragen eine Mandantenkennung oder sind über eine solche Tabelle zugeordnet; Row-Level-Security ist auf allen Tabellen der Datenbank aktiviert.
2. Integrität
Weitergabekontrolle: Verschlüsselte Übertragung (TLS/HTTPS mit HSTS) auf allen Verbindungen zur Anwendung. Die Datenbank ist im Ruhezustand verschlüsselt (AES-256). Lieferanten erhalten nur die für die Lieferung nötigen Angaben (Name, Anschrift und E-Mail-Adresse der empfangenden Person).
Eingabekontrolle: Punktebewegungen werden ausschließlich über eine serverseitige Datenbankfunktion als neue Buchung angefügt; Korrekturen erfolgen als Gegenbuchung. Teilnehmende und Kunden-Administratoren haben keine Änderungs- oder Löschrechte an Buchungen. Administrative Aktionen werden mit Akteur, Aktion, Ziel, Zeitpunkt sowie Zustand vorher und nachher protokolliert.
3. Verfügbarkeit und Belastbarkeit
Datenbank bei Supabase in der AWS-Region Frankfurt am Main; Serverfunktionen der Anwendung bei Vercel in Frankfurt am Main.
Der Datenbank-Dienstleister erstellt täglich automatische Sicherungen, die sieben Tage aufbewahrt werden. Eine Wiederherstellung auf einen beliebigen Zeitpunkt (Point-in-Time-Recovery) ist nicht vereinbart; im Schadensfall kann der Stand des Vortags wiederhergestellt werden.
Fehler im Betrieb werden protokolliert und lösen eine Benachrichtigung des Auftragnehmers per E-Mail aus.
Mengenbegrenzung für Formulare, Bestellungen, Punktevergaben und Support-Anfragen; für Anmeldungen gelten die Begrenzungen des Authentifizierungsdienstes von Supabase.
Bestellungen und Lieferantenaufträge sind gegen doppelte Ausführung gesichert.
4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
Auftragskontrolle: Unterauftragsverarbeiter nur nach § 8 mit Vertrag nach Art. 28 Abs. 4 DSGVO.
Wiederherstellbarkeit: Der Auftragnehmer prüft die Wiederherstellung aus einer Sicherung mindestens einmal im Kalenderjahr.
Löschung: Personenbezogene Daten der Teilnehmenden werden auf Weisung des Auftraggebers gelöscht oder anonymisiert (§§ 10, 12). Automatisch gelöscht werden technische Daten: Einträge der Mengenbegrenzung nach spätestens 48 Stunden, Systemfehler-Ereignisse nach 90 Tagen, spätestens nach vier Monaten. Feste Löschfristen für Teilnehmerdaten gelten, wenn der Auftraggeber sie in Textform vorgibt.
Datenschutzverletzungen: Fester Ablauf für Erkennung, Eindämmung, Meldung nach § 11 und Dokumentation jeder Verletzung.
Überprüfung: Der Auftragnehmer überprüft diese Maßnahmen mindestens einmal im Kalenderjahr und nach wesentlichen Änderungen der Plattform.
Anlage 3: Genehmigte Unterauftragsverarbeiter
| Unterauftragsverarbeiter | Leistung | Ort der Verarbeitung | Garantien |
|---|---|---|---|
| Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 | Datenbank, Authentifizierung, Dateiablage | Speicherung bei AWS in Frankfurt am Main (eu-central-1); Betriebs- und Supportzugriffe auch aus Drittländern möglich | Vertrag nach Art. 28 Abs. 4 DSGVO (Data Processing Addendum von Supabase) mit EU-Standardvertragsklauseln (Module 2 und 3); Verschlüsselung im Ruhezustand (AES-256) |
| Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA | Hosting, Auslieferung und Serverfunktionen der Anwendung | Serverfunktionen in Frankfurt am Main (fra1); Auslieferung über das weltweite Netz von Vercel, Hauptverarbeitung laut Vercel in den USA | Vertrag nach Art. 28 Abs. 4 DSGVO (Data Processing Addendum von Vercel) mit EU-Standardvertragsklauseln; Zertifizierung nach dem EU-US Data Privacy Framework |
| Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA | Versand von System-E-Mails (Anmeldelinks, Bestell- und Versandbestätigungen, Benachrichtigungen) | Versand über die bei Resend eingestellte Region; Kontodaten, E-Mail-Metadaten und Protokolle in den USA | Vertrag nach Art. 28 Abs. 4 DSGVO (Data Processing Addendum von Resend) mit EU-Standardvertragsklauseln; Zertifizierung nach dem EU-US Data Privacy Framework |
| Microsoft Ireland Operations Limited, Dublin, Irland (Microsoft 365) | E-Mail-Postfach des Auftragnehmers (Kommunikation mit dem Auftraggeber, Support-Anfragen per E-Mail) | EU (EU-Datengrenze von Microsoft) | Vertrag nach Art. 28 Abs. 4 DSGVO (Microsoft Products and Services Data Protection Addendum); Zertifizierung der Microsoft Corporation nach dem EU-US Data Privacy Framework |
| Touch Incentive GmbH (oneConcepts), Damm 9-19, 25421 Pinneberg | Versand von Sachprämien; erhält Name, Lieferanschrift und E-Mail-Adresse der empfangenden Person | Deutschland und Niederlande | Vertrag nach Art. 28 Abs. 4 DSGVO, geschlossen vor Aktivierung des Lieferanten im Programm des Auftraggebers; keine Übermittlung in Drittländer |
| cadooz GmbH, Osterbekstraße 90b, 22083 Hamburg | Gutscheinprämien; erhält Name, Anschrift und E-Mail-Adresse der empfangenden Person | Deutschland | Vertrag nach Art. 28 Abs. 4 DSGVO, geschlossen vor Aktivierung des Lieferanten im Programm des Auftraggebers; keine Übermittlung in Drittländer |
Prämienlieferanten sind nur beteiligt, wenn sie im Programm des Auftraggebers aktiviert sind. Änderungen dieser Liste kündigt der Auftragnehmer nach § 8 Abs. 2 an.