Vertrag zur Auftragsverarbeitung (AVV)

Vorlage des Anbieters. Dieser Vertrag zur Auftragsverarbeitung (AVV) wird zwischen dem Anbieter (Auftragnehmer) und jedem Restaurant (Kunde / Verantwortlicher) geschlossen, das bestello nutzt. Er ist nach Art. 28 Abs. 3 DSGVO Pflicht. Vor dem produktiven Einsatz juristisch prüfen lassen; [Platzhalter] ausfüllen.

Präambel

Dieser Vertrag zur Auftragsverarbeitung („AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien bei der Nutzung des Dienstes bestello und gilt ergänzend zu den AGB („Hauptvertrag").

Verantwortlicher (Auftraggeber): das den Dienst nutzende Restaurant gemäß den im Hauptvertrag hinterlegten Stammdaten („Kunde").

Auftragsverarbeiter (Auftragnehmer):
Zukunft.digital
Inhaber: Daniel Petzke
Schumannstr. 46
48480 Spelle, Deutschland
E-Mail: hallo@bestello.online
[ggf. USt-IdNr. / Steuernummer]

Der Verantwortliche bleibt für die Rechtmäßigkeit der Datenverarbeitung verantwortlich (Art. 24 DSGVO). Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich nach Weisung des Verantwortlichen.

§ 1 Gegenstand, Art und Zweck

Gegenstand ist die Bereitstellung und der Betrieb des Online-Bestell-Shops (Software-as-a-Service) gemäß Hauptvertrag: Entgegennahme, Speicherung, Anzeige und Verwaltung von Bestellungen der Gäste (Abholung und Lieferung); Verwaltungsoberfläche für den Kunden und dessen Personal; technischer Betrieb (Hosting, Datenbank, Sicherung, Wartung).

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Anzeigen, Verwenden, Löschen – automatisiert auf der Infrastruktur des Auftragnehmers.

Zweck: ausschließlich die Erfüllung des Hauptvertrags. Eine Verarbeitung personenbezogener Daten zu eigenen Zwecken des Auftragnehmers findet nicht statt.

Zulässig bleibt die Erstellung aggregierter, vollständig anonymisierter Statistiken über die Nutzung des Dienstes (z. B. Gesamt-Besuchs- und Aufrufzahlen, Geräte- und Herkunfts-Verteilung) zu Betrieb, Absicherung und Verbesserung des Dienstes. Solche Auswertungen enthalten keinen Personenbezug und lassen keine Rückschlüsse auf einzelne betroffene Personen zu; sie gelten daher nicht als Verarbeitung personenbezogener Daten zu eigenen Zwecken.

Ort der Verarbeitung: Europäische Union (Server der Hetzner Online GmbH, Deutschland). Eine Verarbeitung in Drittländern findet nur durch die in Anlage 2 genannten Unterauftragnehmer und nur auf zulässiger Grundlage (Art. 44 ff. DSGVO) statt.

§ 2 Art der Daten und Kreis der Betroffenen

Kategorien personenbezogener Daten:

• Bestelldaten der Gäste: Name, Telefonnummer, ggf. E-Mail-Adresse, bei Lieferung Lieferanschrift, Bestellinhalt, gewünschte Zeit, Freitext-Notizen, Bestellnummer, Zahlungsart und -status, bei Online-Zahlung die Zahlungs-Vorgangs-ID des Zahlungsdienstleisters (Stripe), bei aktivierten Bestellstatus-Benachrichtigungen die Push-Adresse des Browsers (Endpunkt und Schlüssel, der Bestellung zugeordnet).
• Account-Daten des Kunden/Personals: Anmeldedaten der Verwaltungs-Zugänge (E-Mail/Benutzername, Passwort-Hash).

Kreise betroffener Personen: Gäste / Besteller des Kunden; Mitarbeitende mit Verwaltungs-Zugang.

Besondere Kategorien (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags; der Kunde wird angehalten, keine solchen Daten (z. B. in Freitextfeldern) zu erheben.

§ 3 Dauer

Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags. Mit Beendigung gelten die Regelungen zu Löschung und Rückgabe (§ 9).

§ 4 Weisungsrecht des Verantwortlichen

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). Weisungen erfolgen in Textform (z. B. per E-Mail an hallo@bestello.online); die Konfiguration des Dienstes durch den Kunden gilt als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Verantwortlichen und darf die Durchführung bis zur Klärung aussetzen.

§ 5 Pflichten des Auftragnehmers

• weisungsgebundene Verarbeitung (§ 4);
• Verpflichtung der befugten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO);
• technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage 1);
• Einhaltung der Bedingungen für weitere Auftragsverarbeiter (§ 7);
• Unterstützung bei Anträgen betroffener Personen (Art. 12–23 DSGVO, § 6);
• Unterstützung bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung);
• Löschung oder Rückgabe der Daten nach Auftragsende (§ 9);
• Bereitstellung der Nachweise und Ermöglichung von Überprüfungen (§ 8);
• Kontaktstelle für Datenschutzfragen: hallo@bestello.online.

§ 6 Unterstützung bei Betroffenenrechten

Wendet sich eine betroffene Person mit einem Antrag direkt an den Auftragnehmer, leitet dieser ihn unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst. Er unterstützt den Verantwortlichen mit geeigneten technischen Maßnahmen (z. B. Bereitstellung, Berichtigung oder Löschung der betreffenden Datensätze).

§ 7 Unterauftragsverhältnisse

Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 2 aufgeführten Unterauftragnehmer (Art. 28 Abs. 2 DSGVO). Der Auftragnehmer verpflichtet diese auf im Wesentlichen entsprechende Pflichten (Art. 28 Abs. 4 DSGVO). Einen Wechsel oder die Hinzunahme teilt er vorab in Textform mit; der Verantwortliche kann binnen 14 Tagen aus wichtigem Grund widersprechen (mit beiderseitigem Sonderkündigungsrecht bei berechtigtem Widerspruch).

§ 8 Nachweise und Kontrollen

Der Auftragnehmer weist die Einhaltung der TOM auf Anforderung in geeigneter Weise nach (Beschreibung gemäß Anlage 1, ggf. Testate der Unterauftragnehmer). Der Verantwortliche darf sich von der Einhaltung überzeugen; Vor-Ort-Kontrollen erfolgen mit angemessener Vorankündigung zu üblichen Geschäftszeiten.

§ 9 Löschung und Rückgabe nach Beendigung

Nach Beendigung des Hauptvertrags löscht der Auftragnehmer die verarbeiteten Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Rückgabe (Export) kann innerhalb von 30 Tagen nach Vertragsende verlangt werden; danach werden die Daten gelöscht. Sicherungskopien werden im regulären Rotationszyklus (derzeit 7 Tage) überschrieben.

§ 10 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet eine bekannt gewordene Verletzung des Schutzes der vom Auftrag umfassten Daten unverzüglich (in der Regel innerhalb von 48 Stunden) in Textform und unterstützt den Verantwortlichen bei dessen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

§ 11 Haftung

Es gelten die Regelungen des Hauptvertrags (AGB) sowie Art. 82 DSGVO. Im Außenverhältnis gegenüber betroffenen Personen bleibt die gesetzliche Haftung unberührt.

§ 12 Schlussbestimmungen

Bei Widersprüchen gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor. Der AVV ist an die Laufzeit des Hauptvertrags gekoppelt. Es gilt das Recht der Bundesrepublik Deutschland; sind einzelne Bestimmungen unwirksam, bleibt der Rest wirksam. Änderungen bedürfen der Textform.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit: Server in einem zertifizierten Rechenzentrum (Hetzner Online GmbH, Deutschland); administrativer Zugang ausschließlich per SSH-Schlüssel (Passwort-Login deaktiviert), gehärtete Konfiguration, Rate-Limit auf Login-/Auth-Endpunkte; passwortgeschützte Verwaltungs-Zugänge; serverseitig erzwungene Mandantentrennung (Daten eines Restaurants sind für andere nicht zugänglich); rollenbasierte Berechtigungen. Ein Support-Zugriff der Plattform-Administration auf die Verwaltung eines einzelnen Restaurants (zur Fehlerbehebung oder auf Weisung des Verantwortlichen) erfolgt über kurzlebige, automatisch ablaufende Zugangs-Token (kein dauerhaft hinterlegtes Zugangspasswort) und wird protokolliert.

Integrität: verschlüsselte Übertragung ausschließlich über TLS/HTTPS; Server- und Anwendungs-Logs; nachvollziehbare Statuswechsel von Bestellungen; Protokollierung administrativer Support-Zugriffe des Plattform-Betreibers (Zeitpunkt, zugreifende Stelle, betroffenes Restaurant, Gültigkeitsdauer des Zugangs).

Verfügbarkeit und Belastbarkeit: automatisierte tägliche Datenbank-Sicherung (Vorhaltung 7 Tage); zusätzlich täglich eine client-seitig verschlüsselte Off-Site-Sicherung (AES-256) auf einen zweiten Speicherort in der EU (Hetzner Storage Box; Vorhaltung 30 Tage) mit automatischer Ausfall-Alarmierung und dokumentiertem Wiederherstellungs-Weg; aktive Firewall (nur Ports 22/80/443); Wiederherstellbarkeit aus Backups.

Regelmäßige Überprüfung: laufende Aktualisierung der eingesetzten Software/Abhängigkeiten; Überprüfung der Maßnahmen bei wesentlichen Änderungen.

Trennung: logische Mandantentrennung; Trennung von Produktiv- und Test-/Demo-Daten.

Anlage 2 – Genehmigte Unterauftragnehmer

• Hetzner Online GmbH (Gunzenhausen): Hosting / Server / Rechenzentrum – sämtliche im Auftrag verarbeitete Daten – Deutschland (EU).
• AhaSend B.V. (Willem Fenengastraat 16, Amsterdam, Niederlande): Versand transaktionaler E-Mails (z. B. Bestellbestätigungen, Passwort-Zurücksetzen) – E-Mail-Adresse und Inhalt der System-Mail – Verarbeitung im EU/EWR (auf Hetzner-Infrastruktur in Deutschland/Finnland u. a. EWR-Standorten; AVV nach Art. 28 DSGVO).
• Mistral AI (Mistral AI SAS, Paris, Frankreich): KI-gestützter Speisekarten-Import (OCR/Strukturierung hochgeladener Speisekarten) sowie Erstellung der Bild-Prompts für die KI-Kategoriebilder – Inhalte der hochgeladenen Dokumente bzw. Kategoriename/-beschreibung (i. d. R. keine Gast-Bestelldaten) – EU (Frankreich).
• fal.ai (Features and Labels, Inc., San Francisco, USA): KI-Generierung der optionalen Kategoriebilder aus einem Text-Prompt (Kategoriename/-beschreibung, Stil-Vorgabe) – keine personenbezogenen Gast-/Bestelldaten – USA (Drittland); nur sofern die KI-Bildfunktion vom Betreiber aktiviert und vom Kunden genutzt wird.
• Telegram (Telegram FZ-LLC): Zustellung von Support-/Hilfe-Benachrichtigungen an den Plattform-Betreiber – eingegebene Support-Nachricht inkl. Restaurant-Bezeichnung – Drittland, nur sofern die Support-Funktion genutzt wird.

Hinweis zu Stripe: Nutzt der Kunde die optionale Online-Zahlung, schließt er einen eigenen Vertrag mit dem Zahlungsdienstleister Stripe (Stripe Payments Europe, Ltd., Dublin, Irland); das Zahlungskonto läuft auf den Kunden. Stripe ist insoweit eigenständig Verantwortlicher bzw. eigener Auftragsverarbeiter des Kunden, nicht Unterauftragnehmer von bestello. bestello speichert lediglich die Zahlungs-Vorgangs-ID und den Zahlungsstatus zur Bestellzuordnung.

Hinweis zu Push-Benachrichtigungen: Optionale Bestellstatus-Benachrichtigungen an Gäste sowie Benachrichtigungen an das Personal werden über den Push-Dienst des jeweiligen Browser-Anbieters (z. B. Google, Apple, Mozilla) zugestellt; die Inhalte werden verschlüsselt übertragen (Web-Push-Standard), der Push-Dienst kann sie nicht lesen.

Dies ist eine Vorlage des Anbieters und ersetzt keine individuelle Rechtsberatung.