Auftragsverarbeitungsvertrag (AVV)

Vorbemerkung

Auf dieser Seite fassen wir den Vertrag über die Auftragsverarbeitung (AVV) nach Art. 28 DSGVO zusammen, der mit der Registrierung bzw. dem Abschluss eines Nutzungsvertrags elektronisch zwischen dem Kunden und dem Anbieter geschlossen wird und Bestandteil der AGB ist. Die vollständige, unterzeichnungsfähige Fassung stellen wir auf Anfrage an [LEGAL_EMAIL fehlt – in .env setzen] zur Verfügung.

1. Parteien und Rollen

• Verantwortlicher (Auftraggeber): der Gastronomiebetrieb, der VeroMenu nutzt (Kunde).
• Auftragsverarbeiter (Auftragnehmer): [LEGAL_NAME fehlt – in .env setzen] als Betreiber von VeroMenu (Anbieter).

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die bei der Bereitstellung der digitalen Speisekarte, der Bestellfunktion, der Statistiken und der Teamverwaltung im Auftrag des Kunden anfallen. Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags; Pflichten zur Löschung und Vertraulichkeit gelten darüber hinaus fort.

3. Art und Zweck der Verarbeitung

Erheben, Speichern, Anzeigen, Übermitteln an den Kunden und Löschen von Daten zur Darstellung der Speisekarte, zur Entgegennahme und Weiterleitung von Bestellungen an das Team des Kunden, zur cookiefreien Reichweitenmessung und zur Verwaltung der Benutzerkonten des Teams. Eine Verarbeitung zu eigenen Zwecken des Anbieters findet nicht statt.

4. Arten personenbezogener Daten

• Bestelldaten von Gästen: Tisch, bestellte Gerichte und Varianten, Freitext-Anmerkungen, gewählte Sprache, Zeitpunkt, Status;
• pseudonymisierte Statistikdaten: täglich wechselnder, nicht umkehrbarer Hashwert, Ereignistyp, Sprache, Zeitpunkt;
• Daten von Teammitgliedern: Name, E-Mail-Adresse, Rolle und Berechtigungen, Anmeldezeitpunkte, Änderungsprotokoll;
• Inhalte der Speisekarte, soweit sie personenbezogene Daten enthalten (z. B. Namen im Impressum des Betriebs).

5. Kategorien betroffener Personen

• Gäste, die die Speisekarte aufrufen oder darüber bestellen;
• Beschäftigte und Beauftragte des Kunden mit Zugang zum Dienst.

6. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Kunden; die Weisungen sind durch den Vertrag und die Einstellungen im Dienst festgelegt;
• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit;
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (Abschnitt 7);
• Einsatz von Unterauftragsverarbeitern nur nach Maßgabe von Abschnitt 8;
• Hinweis an den Kunden, wenn eine Weisung nach Auffassung des Anbieters gegen Datenschutzrecht verstößt.

7. Technische und organisatorische Maßnahmen

• Hosting in einem nach ISO/IEC 27001 zertifizierten Rechenzentrum in Deutschland;
• Transportverschlüsselung aller Verbindungen per TLS (HTTPS);
• Passwörter ausschließlich als Argon2id-Hash; hinterlegte API-Schlüssel mit AES-256-GCM verschlüsselt;
• rollenbasierte Zugriffskontrolle je Betrieb, Mandantentrennung auf Datenbankebene über Betriebskennungen;
• serverseitige Sitzungen mit Ablauf, Sperrung von Konten mit sofortiger Beendigung aller Sitzungen;
• regelmäßige, verschlüsselte Datensicherungen und dokumentierte Wiederherstellung;
• Protokollierung sicherheitsrelevanter Änderungen (Audit-Log) und Begrenzung von Anmeldeversuchen;
• Datensparsamkeit: keine Cookies auf der Gäste-Speisekarte, keine Speicherung von IP-Adressen in Statistiken.

8. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter:

An KI-Anbieter werden ausschließlich Speisekarteninhalte übermittelt, keine Bestell- oder Statistikdaten von Gästen. Über beabsichtigte Änderungen der Unterauftragsverarbeiter informiert der Anbieter den Kunden mindestens vier Wochen im Voraus in Textform; der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag in diesem Fall außerordentlich kündigen.

9. Unterstützung des Verantwortlichen

Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation). Anfragen von Gästen, die beim Anbieter eingehen, leitet er unverzüglich an den Kunden weiter.

10. Meldung von Datenschutzverletzungen

11. Löschung und Rückgabe

Nach Ende des Vertrags löscht der Anbieter alle im Auftrag verarbeiteten Daten innerhalb von 30 Tagen, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht. Vorher kann der Kunde seine Daten exportieren. Sicherungskopien werden im Rahmen des regulären Backup-Zyklus überschrieben.

12. Nachweise und Kontrollen

Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen sowie Zertifikate der Unterauftragsverarbeiter. Inspektionen vor Ort sind nach rechtzeitiger Anmeldung, zu üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich.

13. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen der AGB, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.