Entwurf – vor Veröffentlichung anwaltlich prüfen. Stand: [Datum].

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Präambel

(1) Dieser Vertrag gilt für jeden Geschäftskunden („Restaurant“ oder „Auftraggeber“), der die Dienste von [Firmenname GmbH] („MenuPop“ oder „Auftragnehmer“) nutzt, und ist Bestandteil der AGB.

(2) Für die Daten der Gäste des Restaurants ist das Restaurant Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. MenuPop verarbeitet diese Daten als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO und Art. 28 DSGVO.

(3) Die Konto-, Abrechnungs- und Sicherheitsdaten des Restaurants verarbeitet MenuPop als eigener Verantwortlicher. Dafür gilt dieser Vertrag nicht.

§ 1 Gegenstand und Dauer

(1) MenuPop verarbeitet personenbezogene Daten der Gäste ausschließlich zur Bereitstellung der digitalen Speisekarte, des Bestellstatus, der Benachrichtigungen, der Wallet-Pässe, der Treuefunktionen, des Upsellings und der Bewertungsfunktionen für das Restaurant.

(2) Die Verarbeitung dauert so lange, wie das Konto des Restaurants besteht, soweit sich aus diesem Vertrag nicht etwas anderes ergibt.

§ 2 Art und Zweck der Verarbeitung

Art der Verarbeitung: Erheben, Speichern, Abfragen, Verknüpfen, Anonymisieren, Übermitteln an Unterauftragsverarbeiter, Löschen. Zweck: Erbringung der in § 1 genannten Dienste.

§ 3 Kategorien betroffener Personen und personenbezogener Daten

MenuPop erhebt keine Namen, Telefonnummern oder E-Mail-Adressen von Gästen, außer der Gast gibt sie selbst im Freitext an.

§ 4 Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

(1) MenuPop verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Restaurants. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen, die das Restaurant im Dashboard vornimmt.

(2) Ist MenuPop der Ansicht, eine Weisung verstoße gegen die DSGVO oder andere Datenschutzvorschriften, informiert MenuPop das Restaurant unverzüglich. MenuPop ist berechtigt, die Ausführung der Weisung bis zur Klärung auszusetzen.

(3) Eine Verarbeitung für eigene Zwecke von MenuPop, insbesondere die Nutzung zum Training von Modellen, erfolgt nicht.

§ 5 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

MenuPop stellt sicher, dass alle Personen, die personenbezogene Daten verarbeiten, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff ist auf das für die jeweilige Aufgabe Erforderliche beschränkt.

§ 6 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

(1) MenuPop trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen. Sie werden dem Stand der Technik entsprechend weiterentwickelt. MenuPop darf dabei kein Sicherheitsniveau unterschreiten.

(2) Die Maßnahmen unterliegen der Prüfung nach § 10.

§ 7 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)

(1) Das Restaurant erteilt eine allgemeine Genehmigung für die in Anlage 2 und unter [URL Unterauftragsverarbeiter-Liste] genannten Unterauftragsverarbeiter.

(2) MenuPop informiert das Restaurant mindestens 30 Tage vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters. Das Restaurant kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund in Textform widersprechen. Ist keine einvernehmliche Lösung möglich, kann das Restaurant den Vertrag zum Zeitpunkt der Änderung kündigen.

(3) MenuPop schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der dieselben Datenschutzpflichten enthält wie dieser Vertrag (Art. 28 Abs. 4 DSGVO). MenuPop haftet gegenüber dem Restaurant für Unterauftragsverarbeiter wie für eigenes Handeln.

(4) Unterauftragsverarbeiter in Drittländern werden nur eingesetzt, wenn die Anforderungen der Art. 44 ff. DSGVO erfüllt sind (§ 12).

§ 8 Unterstützung des Restaurants (Art. 28 Abs. 3 lit. e und f DSGVO)

(1) MenuPop unterstützt das Restaurant bei der Beantwortung von Anträgen betroffener Personen. Gäste können Gerätedaten selbst herunterladen oder löschen (Einstellungen & Datenschutz). Für sonstige Anfragen beantwortet MenuPop Anfragen innerhalb von 10 Werktagen nach Eingang, soweit das Restaurant sie weiterleitet.

(2) MenuPop unterstützt das Restaurant bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde), soweit die Information MenuPop zur Verfügung steht.

§ 9 Verletzungen des Schutzes personenbezogener Daten

MenuPop informiert das Restaurant unverzüglich, spätestens innerhalb von 48 Stunden, nachdem MenuPop von einer Verletzung des Schutzes personenbezogener Daten der Gäste erfahren hat. Die Meldung enthält die Informationen, die das Restaurant für seine Meldung nach Art. 33 und Art. 34 DSGVO benötigt, soweit sie MenuPop vorliegen. MenuPop ergreift die Maßnahmen zur Eindämmung und Behebung.

§ 10 Nachweise und Kontrollrechte (Art. 28 Abs. 3 lit. h DSGVO)

(1) MenuPop stellt dem Restaurant auf Anfrage die Informationen zur Verfügung, die für den Nachweis der Einhaltung dieses Vertrags erforderlich sind, einschließlich einer Zusammenfassung des letzten Penetrationstests [und einschlägiger Zertifikate, falls vorhanden].

(2) Vor-Ort-Prüfungen sind nach Vorankündigung von mindestens 30 Tagen einmal pro Kalenderjahr möglich. Sie erfolgen während der üblichen Geschäftszeiten, ohne Störung des Betriebs und unter Wahrung der Geheimhaltungsinteressen anderer Kunden. Das Restaurant trägt seine Kosten selbst.

§ 11 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

(1) Gerätedaten der Gäste werden 13 Monate nach der letzten Aktivität gelöscht; Bestelldaten werden nach 13 Monaten anonymisiert. Ein Gast kann Gerätedaten jederzeit selbst löschen.

(2) Nach Beendigung des Vertrags oder Löschung des Kontos des Restaurants löscht MenuPop alle Gästedaten innerhalb von 30 Tagen. Vorher kann das Restaurant die Daten exportieren.

(3) Backups werden innerhalb von [●] Tagen im regulären Rotationszyklus überschrieben. Bis dahin gilt die Verarbeitung für den Zweck der Wiederherstellung fort.

(4) Gesetzliche Aufbewahrungspflichten (z. B. Aufbewahrung von Rechnungen) bleiben unberührt. Die betroffenen Daten werden auf diesen Zweck beschränkt.

§ 12 Internationale Übermittlungen

(1) Die Daten werden in der Europäischen Union gehostet ([Hosting-Anbieter, EU]). Eine ausschließlich deutsche Datenhaltung wird nicht zugesichert.

(2) Übermittlungen in Drittländer (insbesondere USA) erfolgen nur, wenn ein Angemessenheitsbeschluss gilt (EU-US Data Privacy Framework), oder auf Grundlage der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) mit ergänzenden Maßnahmen, soweit erforderlich.

§ 13 Pflichten des Restaurants

(1) Das Restaurant ist für die Rechtmäßigkeit der Verarbeitung der Gästedaten verantwortlich, insbesondere für Rechtsgrundlagen (z. B. Einwilligung für Werbung), die Information der Gäste nach Art. 13 und 14 DSGVO und die Beachtung der Betroffenenrechte.

(2) Das Restaurant weist Mitarbeiter an, keine personenbezogenen Daten in Freitextfelder einzugeben, die nicht erforderlich sind.

§ 14 Haftung

Die Haftung richtet sich nach den AGB. Die Haftungsregelungen des Hauptvertrags gelten auch für Verstöße gegen diesen Vertrag, soweit nicht zwingend etwas anderes gilt. Die Verantwortlichkeit gegenüber betroffenen Personen bleibt unberührt.

§ 15 Laufzeit und Schlussbestimmungen

(1) Dieser Vertrag gilt, solange MenuPop personenbezogene Daten des Restaurants verarbeitet. Er endet mit dem Hauptvertrag, ohne dass es einer gesonderten Kündigung bedarf.

(2) Es gilt deutsches Recht. Für Streitigkeiten gilt der Gerichtsstand des Hauptvertrags.

(3) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags zum Datenschutz vor.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

[Stand: [Datum]. Bitte mit dem technischen Team abgleichen.]

Anlage 2: Unterauftragsverarbeiter

Die aktuelle Liste mit Zweck, Datenarten, Verarbeitungsort und Garantien steht unter [URL Unterauftragsverarbeiter-Liste] und in der Datei subprocessors.md.