Datenschutz

Die AVS Abrechnungs- und Verwaltungs-Systeme GmbH (im Folgenden „AVS“) betreibt als technischer Dienstleister im Auftrag von Unternehmen, Gemeinden/Städten und touristischen Destinationen o.ä. (im Folgenden jeweils „Betreiber“) eine Vielzahl an Kundenkarten-Plattformen mit unterschiedlichen Anwendungsgebieten und Funktionalitäten.

Diese Systeme umfassen u.a. die Meldescheinplattform zur Verwaltung von Meldescheinen und der Abrechnung von Kurtaxen und Gastbeiträgen, das TouristCard-System zur Ausgabe, Verwaltung, Kontrolle und Abrechnung von (digitalen) Gästekarten und Systeme zur Ausgabe, Validierung und Abrechnung von Bonus- oder Kaufkarten (im Folgenden „Card-Systeme“).

Im Rahmen dieser Card-Systeme dient die Service-App „MCC-go“ (im Folgenden „MCC-go") als Applikation für mobile Endgeräte zur Inanspruchnahme von Validierungsfunktionen durch Leistungspartner (Attraktionen, Händler, ÖPNV o.ä.) der Betreiber (im Folgenden jeweils „Akzeptanzstelle“) als Ergänzung oder Alternative zur Abwicklung mit bestehender Kasseninfrastruktur.

Funktionen von MCC-go sind unter anderem die Erfassung von Karten und die Prüfung der Akzeptanz sowie die Gültigkeitsprüfung.

Die „Akzeptanz“ ist im Kontext der Card-Systeme definiert als die Annahme einer Karte eines von AVS als Dienstleister betreuten Card-Systeme durch eine Akzeptanzstelle, welche den Inhaber der Karte zum Eintritt / zur Nutzung einer Attraktion oder zur Inanspruchnahme einer Dienstleistung bei der Akzeptanzstelle, berechtigt

Datenschutzrechtlich Verantwortlicher für die Verarbeitung Ihrer personenbezogenen Daten im Rahmen der Nutzung von MCC-go ist der jeweilige Betreiber.

Im Zuge des Vertragsschlusses mit dem jeweiligen Betreiber und bei der Übersendung der Login-Daten erhalten Sie die notwendigen Informationen zum Verantwortlichen und ggf. zu dessen Vertreter und dessen Datenschutzbeauftragten.
 

Die Nutzung von MCC-go ist nur im Rahmen der Teilnahme an einem von AVS als technischem Dienstleister betreuten Card-System als Akzeptanzstelle möglich.

Vor der Nutzung von MCC-go muss jedes von Ihnen als Akzeptanzstelle genutzte mobile Endgerät (z.B. Smartphone, Tablet) zunächst registriert und freigeschaltet werden. Die Registrierung erfolgt über einen Einladungslink, den Sie von dem jeweiligen Betreiber zu Beginn Ihrer Teilnahme am entsprechenden Card-System erhalten. Der Link wird Ihnen per E-Mail als QR-Code und als Link übersendet. Durch das Scannen des QR-Codes bzw. die Betätigung des Einladungslinks wird zunächst der Google Play Store zum Download der MCC-go-App geöffnet. Nach dem Download erfolgt automatisch die Anmeldung des Geräts. Dabei wird das Endgerät Ihnen als Akzeptanzstelle und dem jeweiligen Card-System zugeordnet. Nach erfolgreicher Freischaltung können Sie über dieses Endgerät die dem Card-System und dem Nutzer zugeordneten Funktionen einsetzen. 
 

Der Zweck der Datenverarbeitung im Rahmen der Nutzung von MCC-go ist die Erfassung und Validierung von Karten eines von AVS als technischem Dienstleister betreuten Card-Systems. Die Rechtsgrundlage für die Verarbeitung von personenbezogenen Daten ist hierbei Art. 6 Abs. 1 lit. b DSGVO (Datenverarbeitung zur Erfüllung eines Vertrages). Ein weiterer Zweck ist die Gewährleistung der IT-Sicherheit der MCC-go-App und der mit der MCC-go-App verbundenen Systeme auf Grundlage eines berechtigten Interesses im Sinne von Art. 6 Abs. 1 lit. f. DSGVO.

Das berechtigte Interesse besteht im sicheren, stabilen und missbrauchsfreien Betrieb der App und der damit verbundenen Systeme, im Schutz der personenbezogenen Daten der Nutzer und unserer IT-Infrastruktur sowie in der wirksamen Abwehr von Cyber-Angriffen und Aufklärung von Sicherheitsvorfällen.

Im Falle einer Funktionsstörung der MCC-go-App kann der Nutzer Diagnosedaten an den technischen Dienstleister übersenden. Diese Verarbeitung erfolgt zum Zweck der Fehleranalyse und der Gewährleistung der IT-Sicherheit und beruht auf einer jederzeit widerrufbaren Einwilligung des Nutzers nach Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG.

 

Anlage der Akzeptanzstelle:

Für jede Akzeptanzstelle wird im Backend des Card-Systems durch die AVS ein Benutzer-Account angelegt. Dadurch wird ein Einladungscode generiert, welcher per E-Mail als QR-Code und Link an die Akzeptanzstelle versendet wird. Bei Verwendung des Einladungscodes durch eine Akzeptanzstelle auf einem Endgerät wird dieses auf die Akzeptanzstelle registriert und bei dem hinterlegter Benutzer-Account angemeldet, weiterhin wird dem Endgerät eine Geräte-ID zugewiesen. 

MCC-go nutzt den angemeldeten Benutzer-Account des mobilen Endgeräts, um die ausgeführten Funktionen, die über dieses Endgerät initiiert werden, Ihnen als Akzeptanzstelle zuordnen zu können. 

Des Weiteren wird dem Endgerät über ein Berechtigungskonzept Zugang zu dem jeweiligen Card-System und der Akzeptanzstelle zugeordneten Funktionen der MCC-go-App gewährt.

Akzeptanzprüfung:

Über die Kamerafunktion des Smartphones wird der QR- oder Bar-Code der zu prüfenden Karte gescannt. Durch den Scan wird ausschließlich die hinterlegte Kartennummer ausgelesen und zusammen mit dem Benutzer-Account über eine Schnittstelle an das Backend des Card-Systems übertragen. Dort erfolgt die Prüfung der Akzeptanz der Karte. 

Das Ergebnis der Prüfung wird an MCC-go zurückgespielt. Zusätzlich werden abhängig von der Konfiguration personenbezogene Daten des Karteninhabers angezeigt. Diese verbleiben für 15 Minuten im Cache des Endgeräts und werden anschließend gelöscht.

Im Falle einer berechtigten und erfolgreich durchgeführten Akzeptanz wird die Nutzung der hinterlegten Dienstleistung / Attraktion im Card-System protokolliert. 

Eine durch die MCC-go-App durchgeführte Akzeptanz kann storniert werden, allerdings nur durch den gleichen Benutzer und nur innerhalb einer bestimmten eng begrenzten Zeitspanne.

Gültigkeitsprüfung:

Über die Kamerafunktion des Smartphones wird der QR- oder Bar-Code der zu prüfenden Karte gescannt. Durch den Scan wird ausschließlich die hinterlegte Kartennummer ausgelesen und zusammen mit der Geräte-ID über eine Schnittstelle an das Backend des Card-Systems übertragen. Dort erfolgt die Prüfung der Gültigkeit der Karte. 

Das Ergebnis der Prüfung wird an MCC-go zurückgespielt. Zusätzlich werden abhängig von der Konfiguration personenbezogene Daten des Karteninhabers angezeigt. Diese verbleiben für 15 Minuten im Cache des Endgeräts und werden anschließend gelöscht.
Eine Protokollierung einer Nutzung der Dienstleistung / Attraktion auf die geprüfte Kartennummer erfolgt im Falle einer reinen Gültigkeitsprüfung nicht.

Tagesabschlüsse:
Über MCC-go kann bis zu 60 Tage rückwirkend die Summe der an einem ausgewählten Tag durchgeführten Akzeptanzen pro Kartenkategorie ausgegeben werden. Diese enthalten keine personenbezogenen Daten der Karteninhaber.
 

Transaktionsdaten:

Weiterhin werden transaktionsbezogene Daten (im Folgenden „Transaktionsdaten“) im Rahmen der Nutzung von MCC-go verarbeitet. Folgende Transaktionsarten können in MCC-go durchgeführt werden, für die die entsprechenden Transaktionsdaten verarbeitet werden:

• Akzeptanz
• Stornierung der Akzeptanz
• Gültigkeitsprüfung (Abfrage der Gültigkeit einer Karte)
• Beleganzeige

Über MCC-go werden Transaktionsdaten dergestalt verarbeitet, dass für den jeweiligen Betreiber und die AVS folgende Informationen im zentralen Verwaltungsbackend des Card-Systems verfügbar sind:

• die Akzeptanzen pro Akzeptanzstelle nach Kartenkategorie

Die Transaktionsdaten werden für die Dauer der gesetzlichen Aufbewahrungsfristen, insbesondere nach § 147 AO und § 257 HGB, grundsätzlich acht Jahre im Hintergrundsystem gespeichert; kürzere Speicherfristen können sich nach Maßgabe einer Vereinbarung mit dem jeweiligen Betreiber ergeben. Nach Ablauf dieser Fristen werden die Transaktionsdaten gemäß Art. 17 Abs. 1 lit. a DSGVO ordnungsgemäß gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigte Interessen (z. B. zur Geltendmachung oder Abwehr von Ansprüchen) entgegenstehen.
 

IT-Sicherheitsdaten:

Zu Zwecken der Gewährleistung der IT-Sicherheit werden im Rahmen der Nutzung von MCC-go weiterhin folgende Daten verarbeitet, mit denen eine Zuordnung der Transaktionsdaten zu Ihnen als Akzeptanzstelle möglich ist:

• Geräte-Typ
• IP-Adresse
• Browser
• Betriebssystem

Diese Daten (im Folgenden „IT-Sicherheits-Daten“) werden für 14 Tage gespeichert. Anschließend erfolgt eine Anonymisierung der IP-Adresse und Aufbewahrung im Log-Management für 180 Tage.

6. Diagnosedaten:

Im Falle eines Funktionsfehlers von MCC-go kann der Nutzer nach der Bestätigung der Einwilligung über eine Checkbox die Übersendung von Diagnosedaten an den technischen Dienstleister veranlassen. 
Dabei werden lokal auf dem Gerät gesammelte und gespeicherte Diagnosedaten des aktuellen Tages übertragen. Ältere Daten werden auf dem Gerät automatisch gelöscht. Diese Diagnosedaten umfassen:

• Erhebung von Klickstrecken
• Protokolle von client-seitig ausgeführtem Code
• versendeter und empfangener Netzwerk-Verkehr aus Client-Sicht
• Gerätedaten wie Systemauslastung, Software-Version, Modell-Name

Diese Daten werden für die Dauer der Fehleranalyse und eventuelle Korrekturen an der App gespeichert und anschließend gelöscht. 
 

Um Ihnen bestimmte Funktionalitäten von MCC-go bereitstellen zu können, muss die MCC-go-App auf verschiedene Funktionen und Daten Ihres mobilen Endgeräts zugreifen können.

Dazu ist es technisch erforderlich, dass Sie der MCC-go-App die nachfolgenden Zugriffsberechtigungen zu den jeweils beschrieben Zwecken gewähren. Ansonsten sind diese Funktionalitäten von MCC-go aus technischen Gründen nicht nutzbar.

Zugriff auf die Kamera:

Nach Gewährung des Zugriffs auf die Kamerafunktion kann der QR-Code der Kartennummer gescannt und die Kartennummer ausgelesen werden. Dabei wird nur die im QR-Code verschlüsselte Kartennummer und nicht das komplette Bild übertragen. Es findet keine Speicherung von Fotos auf Servern der AVS statt.

Netzwerkzugriff:

Diese Berechtigung wird benötigt, damit MCC-go über das Internet eine Verbindung zum Card-System aufbauen und hinsichtlich der von Ihnen gewünschten Funktionen von MCC-go mit dem Card-System kommunizieren kann. Dabei werden die oben aufgelisteten IT-Sicherheits-Daten verarbeitet. 

Die Daten, die bei der Benutzung von MCC-go verarbeitet werden, werden grundsätzlich nicht an Dritte weitergegeben, es sei denn, dies ist gesetzlich vorgeschrieben oder für die Erfüllung vertraglicher Pflichten erforderlich.

Eine Weitergabe erfolgt ansonsten ausschließlich an technische Dienstleister, die als Auftragsverarbeiter im Rahmen des Betriebs, Hostings und/oder der Administration des Systems des jeweiligen Betreibers und zur Gewährleistung der IT-Sicherheit tätig sind.

Die eingesetzten technischen Dienstleister sind:

• die AVS Abrechnungs- und Verwaltungs-Systeme GmbH, Josephsplatz 8, 95444 Bayreuth als technischer Dienstleister für die Bereitstellung der MCC-go-App und des Card-Systems;
• die Schwestergesellschaft ThePeople.de GmbH, Lise-Meitner-Str. 12, 74074 Heilbronn (Deutschland) als Sub-Dienstleister der AVS zur Unterstützung der technischen Dienstleistungen der AVS im Bereich Webanwendungen;
• die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Deutschland) als Sub-Dienstleister der ThePeople.de GmbH zum Hosting von MCC-go.

Mit den genannten Dienstleistern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO, die eine Verarbeitung ausschließlich zu den genannten Zwecken und nach Weisung des jeweiligen Betreibers als datenschutzrechtlichen Verantwortlichen sicherstellen. Eine Verarbeitung der Daten findet ausschließlich innerhalb der EU bzw. des EWR statt; eine Übermittlung in Drittländer erfolgt nicht. Die ThePeople.de GmbH und deren Hosting-Anbieter Hetzner Online GmbH sind ISO 27001 zertifiziert.

Personenbezogene Daten werden nur an solche Empfänger übermittelt, die diese Daten zur Erfüllung der jeweiligen Zwecke benötigen. Empfänger können insbesondere sein:

• Interne Stellen der datenschutzrechtlich Verantwortlichen, soweit dies zur Abwicklung der jeweiligen Prozesse erforderlich ist;
• Technische Dienstleister der datenschutzrechtlich Verantwortlichen als Auftragsverarbeiter im Sinne von Art. 28 DSGVO, die im Auftrag und nach Weisung des datenschutzrechtlich Verantwortlichen Leistungen in den Bereichen IT-Betrieb, Hosting und/oder Autorisierung erbringen;
• Öffentliche Stellen und Behörden, sofern eine gesetzliche Verpflichtung zur Offenlegung besteht;
• Rechtsberater, Wirtschaftsprüfer und sonstige Berufsgeheimnisträger, soweit dies zur Geltendmachung, Ausübung oder Verteidigung rechtlicher Ansprüche erforderlich ist.

Es erfolgt keine Datenübermittlung in Drittländer.

Die Daten, die im Rahmen der Nutzung von MCC-go verarbeitet werden, werden nur auf Servern in der EU oder im EWR gehostet und verarbeitet.

Information nach Art. 19 Abs. 4 DSG (Schweiz):

Erfolgt der Betrieb von MCC-go im Auftrag eines Betreibers, welcher in der Schweizerischen Eidgenossenschaft ansässig ist, so erfolgt eine Bekanntgabe nach Deutschland bzw. Staaten der EW oder des EWR. Für diese Staaten wurde durch den Bundesrat nach Art. 16 Abs. 1 DSG festgestellt, dass diese einen angemessenen Schutz gewährleisten.
 

Wenn Sie Fragen zu der Verarbeitung Ihrer personenbezogenen Daten im Zusammenhang mit der Nutzung von MCC-go haben oder Ihre Datenschutzrechte ausüben möchten, können Sie sich jederzeit an die zentrale Kontaktstelle der AVS wenden (siehe Ziffer 11). 

Bei Vorliegen der gesetzlichen Voraussetzungen haben Sie gemäß DSGVO insbesondere folgende Rechte:  

• Recht auf Auskunft (Art. 15 DSGVO): Sie können Auskunft darüber verlangen, ob und welche personenbezogenen Daten zu Ihrer Person verarbeitet werden sowie weitere damit zusammenhängende Informationen. Anspruchsgegner ist grundsätzlich der jeweilige Betreiber als datenschutzrechtlich Verantwortlicher.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger personenbezogener Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer personenbezogenen Daten verlangen, sofern keine Rechtsgrundlage für eine weitere Speicherung besteht.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): In bestimmten Fällen können Sie verlangen, dass die Verarbeitung Ihrer Daten eingeschränkt wird.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder diese an einen anderen datenschutzrechtlich Verantwortlichen übertragen zu lassen.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können aus Gründen, die sich aus Ihrer besonderen Situation ergeben, der Verarbeitung Ihrer personenbezogenen Daten widersprechen.

Beruht die Verarbeitung Ihrer Daten auf einer Einwilligung, dann haben Sie das Recht, die von Ihnen erteilte Einwilligung jederzeit zu widerrufen. Diesen Widerruf können Sie jederzeit formlos per E-Mail an DS-mccgo(at)avs.de geltend machen.

Die Rechtmäßigkeit der aufgrund der erteilten Einwilligung bis zum Widerruf erfolgten Verarbeitung wird durch den Widerruf nicht berührt.

Darüber hinaus steht Ihnen das Recht zu, sich mit einer Beschwerde an eine Datenschutzaufsichtsbehörde zu wenden, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen datenschutzrechtliche Bestimmungen verstößt (Art. 77 DSGVO).
 

Bitte wenden Sie sich zur Ausübung Ihrer Datenschutzrechte und bei Fragen zur Verarbeitung ihrer personenbezogenen Daten im Zusammenhang mit der Nutzung von MCC-go entweder an die in den Vertragsunterlagen oder der Einladungs-E-Mailgenannten Kontaktinformationen des Betreibers oder auch an die nachstehende Kontaktstelle von AVS:
 

AVS Abrechnungs- und Verwaltungs-Systeme GmbH
Josephsplatz 8
95444 Bayreuth
E-Mail: datenschutz(at)avs.de 
Telefon: +49 (0)921 - 802 972 
 

Bitte beachten Sie, dass die AVS als technischer Dienstleister tätig ist und Anfragen im Zusammenhang mit der Ausübung von Betroffenenrechten an den jeweiligen Betreiber als datenschutzrechtlich Verantwortlichen weiterleitet, sofern dies erforderlich ist.

Stand: August 2026