Data Processing Agreement (DPA) / Auftragsverarbeitungsvertrag

Anhang zu den allgemeinen Nutzungsbedingungen (Terms of Service) der SiamPoints-Plattform

Zwischen: Dem jeweiligen Unternehmen / Shop (nachfolgend „Verantwortlicher“ oder „Data Controller“) und First Class Tech Ventures Co., Ltd. (Betreiber von SiamPoints, nachfolgend „Auftragsverarbeiter“ oder „Data Processor“)

1. Gegenstand und Anwendungsbereich

Dieses Data Processing Agreement (DPA) regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen. Dies geschieht im Rahmen der Bereitstellung der SaaS-Plattform „SiamPoints“ (Treuepunkte-System, Reservierungs-Engine, E-Commerce-Shop, API-Zahlungsintegrationen, Prüfung von Zahlungsbelegen, eigene Formularfelder und Broadcasting). Es ergänzt unsere Nutzungsbedingungen.

Dieses DPA gilt ausschließlich für personenbezogene Daten, bei denen der Händler nach dem thailändischen PDPA als Data Controller agiert (z. B. bestellbezogene Lieferadressen, shop-spezifische Reservierungsdetails, Kaufhistorien, API-Zahlungsweiterleitungen, hochgeladene Zahlungsbelege, Rückmeldungen der Gäste, Angaben in eigenen Formularfeldern und Einwilligungen für Broadcasting). Für die primären Registrierungsdaten des Endkunden zur Erstellung eines globalen SiamPoints-Accounts (E-Mail-Adresse bzw. Anmeldung über Google, Apple, Facebook oder LINE — eine Mobilfunknummer wird dafür nicht verwendet) agiert SiamPoints als eigenständiger Data Controller gemäß unserer separaten Datenschutzerklärung.

SiamPoints ist kein Zahlungsdienstleister: Der Auftragsverarbeiter nimmt keine Zahlungen für den Verantwortlichen oder dessen Gäste entgegen, hält kein Geld und leitet keines weiter; Zahlungen der Gäste gehen direkt an den Verantwortlichen. Soweit der Auftragsverarbeiter Transaktionsdaten oder Zahlungsbelege an einen Zahlungsdienstleister oder Prüfdienst des Verantwortlichen übermittelt, geschieht das ausschließlich technisch und in dessen Auftrag.

2. Art der Daten und Kreis der Betroffenen

Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen folgende Datenkategorien von Endkunden (Gästen):

• Identifikations- und Kontaktdaten: Namen, E-Mail-Adressen sowie Telefonnummern nur, soweit der Gast sie selbst für eine Lieferung einträgt.

• Transaktionsdaten: Gesammelte Treuepunkte, Details zu Online-Reservierungen (z. B. Datum, Personenanzahl, besondere Wünsche) sowie Rückmeldungen und Anfragen der Gäste an den Verantwortlichen.

• E-Commerce- und Zahlungsdaten: Lieferadressen, Rechnungsadressen, bestellte Produkte sowie Transaktionsdetails, die zur Abwicklung von Zahlungen über die Plattform-Schnittstellen an integrierte Zahlungsdienstleister weitergeleitet werden; dazu hochgeladene Zahlungsbelege (Bild, Name des Zahlers, Betrag, Zeitpunkt) und das Ergebnis ihrer Prüfung.

• Angaben in eigenen Formularfeldern: die Antworten der Gäste in Zusatzfeldern, die der Verantwortliche in seinen Formularen anlegt.

• Broadcasting: die Einwilligungen der Gäste je Dienst mit Nachweis (Zeitpunkt, Fassung des Wortlauts, Weg, IP-Adresse), die Kennung des Gastes beim Dienst, Abmeldungen sowie Inhalt und Protokoll der Sendungen.

Kreis der Betroffenen (Data Subjects): Endkunden (Gäste), die mit dem jeweiligen Verantwortlichen (Shop/Unternehmen) über die Plattform interagieren.

3. Pflichten des Auftragsverarbeiters (SiamPoints)

Gemäß den Vorgaben des thailändischen PDPA verpflichtet sich der Auftragsverarbeiter zu Folgendem:

3.1 Strikte Weisungsbindung Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der dokumentierten Anweisungen des Verantwortlichen. Die Nutzung der Funktionen der SiamPoints-Plattform durch den Verantwortlichen stellt eine solche dokumentierte Anweisung dar. Eine Verarbeitung zu eigenen Werbe- oder Broadcast-Zwecken an die Endkunden des Verantwortlichen ist dem Auftragsverarbeiter ausdrücklich untersagt. Nachrichten des Verantwortlichen (Broadcasting) übermittelt der Auftragsverarbeiter nur in dessen Auftrag über dessen eigenes Konto beim jeweiligen Dienst, nur an Gäste mit gültiger Einwilligung und immer mit einer Zeile zum Abmelden.

3.2 Datensicherheit (Technical and Organizational Measures) Der Auftragsverarbeiter ergreift angemessene technische und organisatorische Sicherheitsmaßnahmen, um die Daten vor unbefugtem Zugriff, Verlust, Diebstahl, Zerstörung oder Manipulation zu schützen. Dies umfasst den Einsatz sicherer Server-Infrastrukturen und verschlüsselter Datenübertragungen.

3.3 Meldepflicht bei Datenverletzungen (Data Breach Notification) Sollte der Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten (Hackerangriff, Datenleck) feststellen, wird er den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 36 Stunden nach Kenntniserlangung informieren. Dies ermöglicht es dem Verantwortlichen, seine gesetzliche Meldepflicht gegenüber der thailändischen Datenschutzbehörde (PDPC) innerhalb der vorgeschriebenen 72 Stunden zu erfüllen.

3.4 Unterstützung des Verantwortlichen Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Ausübung der Rechte von betroffenen Personen (z.B. Auskunft, Löschung, Berichtigung) nachzukommen.

3.5 Löschung oder Rückgabe der Daten Nach Beendigung des Hauptvertrages (Ende des SiamPoints-Abonnements) — ebenso während einer Sperre wegen Nichtzahlung — bewahrt der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten des Verantwortlichen sechs Monate auf, damit der Verantwortliche das Abonnement wieder aktivieren kann (§ 10.3 der Abonnement-Bedingungen). Verlangt der Verantwortliche vorher die Löschung oder Rückgabe, wird der Auftragsverarbeiter diese Daten nach dessen Wahl entweder sicher löschen oder in einem gängigen Format zurückgeben. Nach Ablauf der sechs Monate löscht der Auftragsverarbeiter die Daten sicher. Dies gilt jeweils, sofern keine thailändischen Gesetze (z.B. der Computer Crimes Act) eine längere Aufbewahrung der technischen Protokolle vorschreiben. Die Punkte der Gäste bleiben in deren SiamPoints-Konto erhalten.

3.6 Vertraulichkeit, Verzeichnis und gesetzliche Pflichten Der Auftragsverarbeiter verpflichtet alle Personen, die die Daten verarbeiten, zur Vertraulichkeit und führt ein Verzeichnis seiner Verarbeitungstätigkeiten nach dem PDPA. Er darf Daten offenlegen, soweit ihn ein Gesetz, eine Behörde oder ein Gericht nach thailändischem Recht dazu verpflichtet — etwa Protokolle nach Section 26 des Computer Crimes Act; soweit gesetzlich zulässig, informiert er den Verantwortlichen darüber.

4. Einschaltung von Unterauftragsverarbeitern (Sub-Processors) und Auslandstransfer

Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit die allgemeine Genehmigung, weitere Auftragsverarbeiter (Sub-Processors) hinzuzuziehen, die für den sicheren Betrieb der Plattform zwingend erforderlich sind. Zu diesen Sub-Processors gehören insbesondere:

• Cloud- und Server-Hosting-Anbieter

• Content Delivery Networks (CDN) und Sicherheitsinfrastrukturen (z. B. Cloudflare mit Web Application Firewalls zum Schutz vor Cyberangriffen, Turnstile und der Speicherung öffentlicher Medien)

• Kommunikations-Gateways (z.B. Dienste für den Versand von E-Mails, LINE Messaging API)

• Adresssuche und Karten (Geoapify, OpenFreeMap)

• Zahlungsdienstleister / Payment Gateways (z.B. Stripe, Opn Payments oder vergleichbare Anbieter), soweit deren Integration für die B2C-Zahlungsabwicklung im Online-Shop des Verantwortlichen genutzt wird — über das eigene Konto des Verantwortlichen.

Prüfung von Zahlungsbelegen: Schaltet der Verantwortliche die automatische Prüfung ein, wählt er den Prüfdienst (etwa SlipOK, EasySlip oder Thunder) und nutzt ihn über sein eigenes Konto; der Vertrag mit diesem Anbieter ist sein eigener Vertrag, und er trägt dessen Kosten. Der Auftragsverarbeiter übermittelt den Beleg nur technisch in seinem Auftrag. Ebenso nutzt der Verantwortliche für Broadcasting sein eigenes Konto beim jeweiligen Dienst (in Thailand LINE); für dieses Konto gelten die Bedingungen des Dienstes und die Zusatzbedingungen Broadcasting.

Internationaler Datentransfer: Der Verantwortliche nimmt zur Kenntnis und stimmt ausdrücklich zu, dass einige der genannten Sub-Processors (insbesondere Cloud-Hosting und CDN-Anbieter) Server-Infrastrukturen außerhalb Thailands betreiben. Es kann daher zu einer internationalen Übermittlung der verarbeiteten Daten kommen. Der Auftragsverarbeiter stellt vertraglich und technisch sicher, dass diese Sub-Processors und Empfängerländer über angemessene Datenschutzstandards verfügen, die den Anforderungen des thailändischen PDPA (insbesondere Section 28) entsprechen.

5. Pflichten und Haftung des Verantwortlichen (Händler/Shop)

1. Rechtsgrundlage: Der Verantwortliche garantiert, dass er für die Erhebung und Verarbeitung der Daten über die Plattform (insbesondere für darüber hinausgehende Reservierungs- oder Bestelldaten) über eine gültige Rechtsgrundlage nach dem PDPA verfügt. Er ist alleinig dafür verantwortlich, Datenschutzanfragen seiner Endkunden rechtlich zu bewerten und zu bearbeiten.

1. Freistellung und Haftungsbegrenzung: Der Verantwortliche stellt den Auftragsverarbeiter von jeglichen Ansprüchen, Strafen oder Schadensersatzforderungen Dritter (einschließlich der thailändischen Datenschutzbehörde PDPC) vollumfänglich frei, die aus einer Verletzung des PDPA resultieren, welche durch den Verantwortlichen verursacht wurde. Hinsichtlich der vertraglichen Haftung des Auftragsverarbeiters (SiamPoints) aus diesem DPA gelten die Haftungsbeschränkungen und -deckelungen der allgemeinen Nutzungsbedingungen (Terms of Service) vollumfänglich und entsprechend.

1. Eigene Formularfelder, Broadcasting und Prüfdienste: Der Verantwortliche ist allein verantwortlich für den Inhalt seiner eigenen Formularfelder (sensible Daten nur mit ausdrücklicher Einwilligung), für die Einwilligungen und Nachrichten beim Broadcasting und für die Wahl und Nutzung seines Prüfdienstes und seines Zahlungsdienstleisters. Die Freistellung nach Ziffer 2 gilt auch hierfür.

6. Schlussbestimmungen

Dieses DPA unterliegt dem Recht des Königreichs Thailand. Es tritt mit der elektronischen Zustimmung (z.B. via Checkbox bei der Registrierung) des Verantwortlichen in Kraft und bildet einen integralen Bestandteil der allgemeinen Nutzungsbedingungen der SiamPoints-Plattform. Maßgeblich ist die thailändische Fassung (Abschnitt 14 der Nutzungsbedingungen).