Auftragsverarbeitungsvertrag

Vereinbarung zur Auftragsverarbeitung

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

zwischen

dem im Auftragsformular bzw. im Online-Registrierungsprozess bezeichneten Kunden – nachfolgend „Verantwortlicher“ –

und

Maurin Wannags, Dänenheide 13, 22926 Ahrensburg – nachfolgend „Auftragsverarbeiter“ –

§ 1 Gegenstand und Dauer der Vereinbarung

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Bestellplattform „essen-bestellen.app“ als Software-as-a-Service bereit (nachfolgend „Hauptvertrag“). Im Rahmen der Leistungserbringung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen. Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien.

(2) Die Laufzeit dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags einschließlich einer etwaigen kostenlosen Testphase. Sie endet mit der vollständigen Löschung bzw. Rückgabe der Daten nach § 9.

(3) Gegenstand, Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

§ 2 Verantwortlichkeit und Weisungsrecht

(1) Der Verantwortliche ist im Verhältnis der Parteien für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich (Art. 4 Nr. 7 DSGVO).

(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(3) Weisungen werden in der Regel durch die Nutzung der Funktionen der Software erteilt; darüber hinausgehende Weisungen bedürfen der Textform. Der Hauptvertrag und diese Vereinbarung gelten als dokumentierte Erstweisung.

(4) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 3 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zur Erfüllung des Hauptvertrags und nicht zu eigenen Zwecken.

(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und mit den einschlägigen Datenschutzbestimmungen vertraut gemacht wurden.

(3) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in Vertragsstaaten des EWR statt. Eine Verarbeitung in Drittländern erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln), und wird dem Verantwortlichen vorab mitgeteilt.

(4) Der Auftragsverarbeiter benennt dem Verantwortlichen als Ansprechpartner für den Datenschutz: Maurin Wannags, datenschutz@essen-bestellen.app. Ein Datenschutzbeauftragter ist derzeit gesetzlich nicht zu benennen; ändert sich dies, wird der Verantwortliche informiert.

(5) Der Auftragsverarbeiter führt, soweit gesetzlich vorgeschrieben, ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält diese für die Dauer der Vereinbarung aufrecht.

(2) Die Maßnahmen dürfen dem Stand der Technik entsprechend weiterentwickelt werden, sofern das vereinbarte Schutzniveau dabei nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 3 aufgeführten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens vier Wochen im Voraus in Textform. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichen Grund innerhalb von zwei Wochen nach Zugang der Information widersprechen. Kommt keine einvernehmliche Lösung zustande, steht beiden Parteien ein Sonderkündigungsrecht hinsichtlich des Hauptvertrags zu.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen Dritter ohne konkreten Bezug zu den Auftragsdaten (z. B. Telekommunikationsleistungen, Reinigung, Wartung ohne Datenzugriff).

§ 6 Unterstützungspflichten; Rechte betroffener Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, dessen Pflicht zur Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) nachzukommen, insbesondere durch Auskunfts-, Berichtigungs-, Lösch- und Exportfunktionen der Software.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern keine gesetzliche Pflicht hierzu besteht.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 7 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die die Auftragsdaten betrifft, unverzüglich nach Bekanntwerden.

(2) Die Meldung enthält, soweit möglich, die Informationen nach Art. 33 Abs. 3 DSGVO, insbesondere die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Noch nicht verfügbare Informationen werden unverzüglich nachgereicht.

§ 8 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

(2) Nachweise können insbesondere durch aktuelle Dokumentationen, Selbstauskünfte, Testate oder geeignete Zertifizierungen (auch der eingesetzten Rechenzentren) erbracht werden.

(3) Darüber hinaus kann der Verantwortliche nach vorheriger Ankündigung mit angemessener Frist (in der Regel 14 Tage) während der üblichen Geschäftszeiten Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zum Auftragsverarbeiter stehenden Prüfer durchführen lassen, ohne den Geschäftsbetrieb unverhältnismäßig zu stören.

§ 9 Löschung und Rückgabe der Daten

(1) Nach Beendigung des Hauptvertrags – bei einer nicht in einen zahlungspflichtigen Vertrag überführten Testphase nach deren Ende – stellt der Auftragsverarbeiter dem Verantwortlichen die Auftragsdaten auf Verlangen innerhalb von 30 Tagen in einem gängigen, maschinenlesbaren Format zur Verfügung.

(2) Nach Ablauf von 30 Tagen nach Beendigung löscht der Auftragsverarbeiter sämtliche Auftragsdaten einschließlich der Sicherungskopien im Rahmen der regulären Backup-Zyklen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Daten, die gesetzlichen Aufbewahrungspflichten unterliegen, werden für die weitere Verarbeitung gesperrt und nach Ablauf der Frist gelöscht.

(3) Die Löschung wird dem Verantwortlichen auf Verlangen in Textform bestätigt.

§ 10 Haftung; Schlussbestimmungen

(1) Für die Haftung der Parteien gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags im Verhältnis der Parteien zueinander.

(2) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieser Vereinbarung vor.

(3) Wird der Hauptvertrag gemäß dessen § 15 auf eine das Geschäft des Auftragsverarbeiters fortführende Gesellschaft übertragen, tritt diese Gesellschaft zugleich mit allen Rechten und Pflichten in diese Vereinbarung ein. Der Verantwortliche stimmt diesem Eintritt bereits jetzt zu. Der Auftragsverarbeiter zeigt den Eintritt dem Verantwortlichen mindestens vier Wochen im Voraus in Textform an; die Rechte des Verantwortlichen aus dieser Vereinbarung bleiben unverändert bestehen.

(4) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(5) Diese Vereinbarung kann auch elektronisch im Rahmen des Registrierungs- oder Bestellprozesses abgeschlossen werden. In diesem Fall ersetzt die dokumentierte elektronische Zustimmung des Verantwortlichen die Unterschrift.

Ort, Datum, Unterschrift Verantwortlicher: _________________________

Ort, Datum, Unterschrift Auftragsverarbeiter: _________________________

Bei elektronischem Abschluss im Registrierungs- oder Bestellprozess ersetzt die dokumentierte Zustimmung die Unterschriften (§ 10 Abs. 5).

Anlage 1 – Gegenstand der Verarbeitung

1. Gegenstand und Zweck der Verarbeitung

Bereitstellung und Betrieb der Bestellplattform „essen-bestellen.app“ einschließlich Hosting, Wartung, Fehleranalyse und Support. Zwecke sind insbesondere: Entgegennahme, Verwaltung und Abwicklung von Bestellungen (Abholung, Tischbestellung per QR-Code, manuell erfasste Bestellungen), Benachrichtigung der Gäste über den Bestellstatus, Verwaltung von Speisekarte, Tischen und Öffnungszeiten sowie Anzeige von Bewertungen.

2. Art der Verarbeitung

Erheben, Speichern, Anzeigen, Übermitteln (an den Verantwortlichen und zwischen dessen Nutzerkonten), Auswerten zu Abrechnungszwecken (Bestellzähler), Sperren und Löschen.

3. Kategorien betroffener Personen

• Gäste / Endkunden des Verantwortlichen

• Mitarbeiter und sonstige Nutzer des Verantwortlichen

4. Kategorien personenbezogener Daten

• Gäste: Name, Telefonnummer, E-Mail-Adresse, Bestelldaten (bestellte Gerichte und Optionen, Preise, Zeitpunkte, gewählte Zahlungsart als Kennzeichnung ohne Zahlungsdaten), Tischnummer, Anmerkungen und Freitexte, Bewertungsinhalte, Stornierungs- und Problemmeldungen, technische Daten (IP-Adresse, Geräte- und Protokolldaten).

• Nutzer des Verantwortlichen: Name, E-Mail-Adresse, Rolle/Berechtigung, Zugangs- und Protokolldaten.

5. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Werden nicht planmäßig verarbeitet. Freitextfelder sind nicht für die Eingabe besonderer Kategorien vorgesehen.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Betrieb der Systeme in einem Rechenzentrum eines nach ISO 27001 zertifizierten Anbieters mit Zutrittsschutz (siehe Anlage 3).

• Zugangskontrolle: personalisierte Benutzerkonten, Passwortanforderungen, automatische Sitzungssperren.

• Zugriffskontrolle: Rollen- und Berechtigungskonzept (z. B. Inhaber-/Mitarbeiterrollen), Beschränkung administrativer Zugriffe auf das erforderliche Minimum, Protokollierung administrativer Zugriffe.

• Trennungskontrolle: logisch mandantengetrennte Datenhaltung je Kunde/Betriebsstätte.

2. Integrität

• Weitergabekontrolle: Verschlüsselung sämtlicher Datenübertragungen mittels TLS; kein unverschlüsselter Transport von Auftragsdaten.

• Eingabekontrolle: Protokollierung wesentlicher Änderungen (z. B. Bestellstatus, Stornierungen) mit Zeitstempel und Nutzerkonto.

3. Verfügbarkeit und Belastbarkeit

• Tägliche automatisierte, clientseitig verschlüsselte Off-site-Backups auf einen räumlich getrennten Speicher mit gestaffelter Aufbewahrung (7 tägliche, 4 wöchentliche und 6 monatliche Sicherungsstände; maximale Aufbewahrungsdauer rund sechs Monate), monatlicher Integritätsprüfung sowie dokumentiertem und erfolgreich getestetem Wiederherstellungsverfahren.

• Automatische Überwachung der Sicherungsläufe mit Alarmierung bei ausbleibender Sicherung; zusätzliche Server-Snapshots beim Hosting-Anbieter als zweite Sicherungsebene.

• Monitoring der Systeme, zeitnahes Einspielen von Sicherheitsupdates, Firewall- und Zugriffsbeschränkungen auf Serverebene.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Regelmäßige Überprüfung und Anpassung der technischen und organisatorischen Maßnahmen.

• Datenschutzfreundliche Voreinstellungen (Privacy by Design/Default), Datenminimierung bei der Erhebung.

• Löschkonzept gemäß § 9 dieser Vereinbarung; Verfahren zur Behandlung von Datenschutzvorfällen.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Stand dieser Anlage: 22. August 2026. Änderungen erfolgen nach dem Verfahren gemäß § 5 dieser Vereinbarung.

Die genannten Unterauftragsverarbeiter setzen zur Leistungserbringung eigene, nach Art. 28 Abs. 4 DSGVO vertraglich verpflichtete Unterauftragsverarbeiter ein. Dabei kann es in Einzelfällen (z. B. Content-Delivery- und Supportdienste von Brevo) zu Verarbeitungen in Drittländern auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO kommen (insbesondere EU-US Data Privacy Framework und EU-Standardvertragsklauseln). Die jeweils aktuellen Listen sind abrufbar unter https://www.ionos.de/terms-gtc/avv/ sowie in den Allgemeinen Nutzungsbedingungen der Brevo-Dienste (Anhang 3, Anlage 2) unter https://www.brevo.com/de/legal/termsofuse/. Diese Mitteilung gilt als Vorabinformation im Sinne von § 3 Abs. 3 dieser Vereinbarung.