zwischen der Organisation, die stickerlist Business nutzt (Verantwortlicher), und [Name / Firma, Anschrift] (Auftragsverarbeiter). Der Vertrag gilt mit Abschluss des Business-Abos als vereinbart; eine unterschriebene Fassung senden wir auf Anfrage an [kontakt@…].
1. Gegenstand und Dauer
Bereitstellung der App stickerlist (Aufgaben, To-dos, Sternchen, Prämien, Teams) für die Beschäftigten des Verantwortlichen für die Dauer des Abos.
2. Art der Daten und Betroffene
Betroffene: Beschäftigte, Gäste und Kunden des Verantwortlichen sowie deren Ansprechpersonen.
Daten: Name, E-Mail, Profilbild (optional), Rollen und Teams, Aufgaben, Projekte, Erledigungen mit Zeitpunkt, Zeitbuchungen (Dauer, Datum, Notiz, abrechenbar), Wochenkontingente, Sternchen, Prämien und Freigaben, optionale Fotos zu Erledigungen, Abwesenheitszeiträume, Push-Token; Kundenstammdaten (Name, Anschrift, E-Mail, USt-ID), Angebote und Rechnungen einschließlich PDF-Dateien.
3. Weisungen
Verarbeitung nur auf dokumentierte Weisung – die Einstellungen in der App (z. B. Betriebsrat-Modus, Speicherdauer, Rollen, Rechte) gelten als Weisungen.
4. Technische und organisatorische Maßnahmen
Hosting bei Google Cloud / Firebase in Frankfurt (EU), Verschlüsselung bei Übertragung (TLS) und Speicherung.
Rollen- und Rechtekonzept, Zugriffsregeln je Team, Protokoll der Admin-Änderungen.
Betriebsrat-Modus: keine personenbezogenen Leistungsauswertungen für Vorgesetzte.
Automatische Löschung nach einstellbarer Frist, Export und Löschung pro Person.
App Check gegen Missbrauch, regelmäßige Sicherungen.
5. Unterauftragsverarbeiter
Google Ireland Ltd. (Firebase: Datenbank, Anmeldung, Functions, Push) – EU
Stripe Payments Europe Ltd. – Abrechnung (nur Rechnungsdaten)
[E-Mail-Versanddienst] – Einladungs-E-Mails
Anthropic PBC (USA) – nur bei Nutzung von „Aufgaben per Beschreibung“, nur der eingegebene Text, keine Speicherung zu Trainingszwecken; EU-Standardvertragsklauseln
6. Rechte der Betroffenen, Unterstützung, Meldepflichten
Der Auftragsverarbeiter unterstützt bei Auskunft, Berichtigung, Löschung und Datenübertragbarkeit und meldet Datenschutzverletzungen unverzüglich, spätestens binnen 48 Stunden.
7. Löschung nach Vertragsende
Nach Ende des Abos werden die Daten der Organisation nach 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht (z. B. Rechnungen).
8. Kontrollrechte
Der Verantwortliche kann sich nach Absprache von der Einhaltung überzeugen; Nachweise werden auf Anfrage bereitgestellt.