Auftragsverarbeitungsvertrag

1. Vertragsparteien und Gegenstand

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO). Verantwortlicher ist das Restaurant, das OrderChef nutzt (im Folgenden „Auftraggeber“). Auftragsverarbeiter ist der Betreiber von OrderChef (im Folgenden „Auftragnehmer“).

(2) Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) von OrderChef. Er wird mit ihnen bei der Registrierung geschlossen und gilt für jede Filiale des Auftraggebers; einer gesonderten Unterschrift bedarf es nicht. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor.

(3) Auftragnehmer ist:

2. Dauer

Der Vertrag gilt für die Laufzeit des Nutzungsvertrags nach den AGB. Seine Pflichten bestehen fort, solange der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet, insbesondere bis zu deren Löschung nach Abschnitt 12.

3. Art und Zweck der Verarbeitung

(1) Der Auftragnehmer betreibt für den Auftraggeber die Plattform OrderChef und verarbeitet dabei personenbezogene Daten zu folgenden Zwecken:

a) Annahme, Anzeige und Abwicklung von Bestellungen der Gäste zur Abholung und Lieferung, aus dem Shop, über die Schnittstellen und über einen Telefon-Assistenten, einschließlich der E-Mails zur Bestellung und der Statusseite für den Gast;

b) Planung der Auslieferung: Umrechnung von Lieferadressen in Koordinaten, Routen, Vorschläge und Zuteilung von Fahrten sowie der Standort der Fahrer während einer Fahrt;

c) Tischreservierungen der Gäste;

d) die Kundenliste des Auftraggebers mit Kundennummern und die Werbeeinwilligungen, die Gäste dem Auftraggeber erteilen;

e) die Übermittlung von Bestellungen an Kassensysteme, Webhooks und andere Anwendungen, die der Auftraggeber anbindet;

f) die Signatur von Bestellungen bei einer technischen Sicherheitseinrichtung (TSE) in der Cloud, wenn das Fiskal-Paket gebucht ist;

g) Fehlersuche, Support und der sichere Betrieb der Plattform.

(2) Nicht Gegenstand dieses Vertrags sind die Verarbeitungen, für die der Auftragnehmer selbst verantwortlich ist, etwa die Konten des Auftraggebers und seines Teams, das Gastkonto, die Analyse mit Einwilligung, die KI-Assistenten und die Abrechnung. Dafür gilt die Datenschutzerklärung von OrderChef.

4. Art der Daten und betroffene Personen

(1) Betroffen sind die Gäste des Auftraggebers (Besteller, Empfänger von Lieferungen und Personen, die einen Tisch reservieren) sowie seine Mitarbeiter, soweit ihre Daten bei Bestellungen und Fahrten anfallen, etwa als Fahrer.

(2) Verarbeitet werden: Name, E-Mail-Adresse und Telefonnummer; die Lieferadresse mit Zusatz, Hinweisen und Koordinaten; Bestelldaten (Artikel, Anmerkungen, Beträge, Zahlungsart, Zeitpunkte und Status); der Zahlungsstatus und die Referenzen der Zahlungsdienstleister, keine Kartendaten; IP-Adresse und Browserkennung einer Bestellung; Reservierungen (Tag, Uhrzeit, Personenzahl, Anmerkungen); Kundennummer und Werbeeinwilligung mit Zeitpunkt; der Standort eines Fahrers, nur die jeweils letzte Position.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht gezielt verarbeitet. Gäste können von sich aus solche Angaben machen, etwa zu Allergien in einer Anmerkung oder mit dem Wunsch nach einem barrierefreien Platz; sie werden dann wie die übrige Bestellung oder Reservierung behandelt.

5. Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei einer Übermittlung in ein Drittland, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet. In diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, soweit das Recht dies nicht verbietet.

(2) Die Weisungen ergeben sich aus den AGB, diesem Vertrag und den Einstellungen, die der Auftraggeber im Dashboard vornimmt, etwa die Aufbewahrungsfrist, angebundene Kassen und Anwendungen oder ein eigener Mailserver. Weitere Weisungen erteilt der Auftraggeber in Textform.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

6. Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Daten des Auftraggebers erhalten nur Personen, die ihn für den Betrieb oder den Support brauchen. Öffnet der Auftragnehmer das Dashboard eines Restaurants für den Support, wird jedes Öffnen und jede Änderung protokolliert (Zeitpunkt, Person, Art der Änderung, nie der Inhalt).

7. Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO. Zum Stand dieses Vertrags sind das insbesondere:

a) Hosting und Zutritt: Die Plattform läuft auf einem Server des Anbieters prohosting24 in einem Rechenzentrum in Frankfurt am Main; den Zutritt zu den Räumen sichert der Betreiber des Rechenzentrums.

b) Verschlüsselung der Übertragung: Verbindungen zur Plattform sind über Cloudflare mit TLS verschlüsselt.

c) Zugang: Anmeldung nur mit einem persönlichen Konto; Passwörter werden nur als sicherer Hash gespeichert; eine Anmeldung mit Authenticator-App oder Passkey ist möglich; Sitzungen laufen nach sieben Tagen ohne Nutzung ab; wiederholte Anmelde- und Registrierungsversuche werden begrenzt.

d) Zugriff und Trennung: Jede Abfrage ist auf das jeweilige Restaurant beschränkt. Mitarbeiter erhalten einzelne Rechte, die der Inhaber vergibt; Abrechnung und Schnittstellenschlüssel bleiben dem Inhaber vorbehalten. Die internen Schnittstellen sind nur für den eigenen Server der Plattform erreichbar.

e) Schutz von Zugangsdaten: Schnittstellenschlüssel und Kassenpasswörter werden nur als Hash gespeichert. Zugangsdaten zu Kassensystemen, Mailservern, Zahlungsdiensten und zur TSE werden mit einem eigenen Schlüssel verschlüsselt gespeichert (AES-256-GCM).

f) Protokollierung: Supportzugriffe und Verwaltungsvorgänge werden protokolliert. Fehlerberichte und Protokollzeilen enthalten keine Eingaben der Gäste; E-Mail-Adressen werden darin unkenntlich gemacht.

g) Datenminimierung und Löschung: Abgeschlossene Bestellungen werden nach der vom Auftraggeber eingestellten Frist anonymisiert (30 bis 365 Tage, ohne Einstellung 90 Tage). Vom Standort eines Fahrers wird nur die letzte Position gespeichert und nach der Fahrt gelöscht.

h) Verfügbarkeit: Die Dienste der Plattform werden laufend auf ihren Zustand geprüft und nach einem Ausfall automatisch neu gestartet; Fehler werden automatisch gemeldet.

i) Überprüfung: Änderungen an der Software durchlaufen vor der Inbetriebnahme automatisierte Tests.

(2) Der Auftragnehmer überprüft die Maßnahmen regelmäßig und passt sie dem Stand der Technik an. Er darf sie durch gleichwertige Maßnahmen ersetzen, solange das Schutzniveau nicht sinkt.

8. Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt allgemein, dass der Auftragnehmer Unterauftragsverarbeiter einsetzt. Zum Stand dieses Vertrags sind das:

a) prohosting24, Rechenzentrum in Frankfurt am Main (Deutschland): Hosting des Servers mit Datenbank, Dateispeicher und Anwendungen.

b) Cloudflare, Inc. (USA): Auslieferung der Seiten, Verschlüsselung und Schutz vor Angriffen. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten die Standardvertragsklauseln der EU-Kommission.

c) netcup GmbH, Karlsruhe (Deutschland): Versand der E-Mails zu Bestellungen und Reservierungen, sofern der Auftraggeber keinen eigenen Mailserver eingerichtet hat.

d) Functional Software, Inc. (Sentry, USA), Verarbeitung auf Servern in der EU (Frankfurt am Main): Fehlererkennung und Protokolle der Server; Protokollzeilen können Kennungen von Bestellungen und die IP-Adresse einer Anfrage enthalten. Für einen möglichen Zugriff aus den USA gelten das EU-US Data Privacy Framework und die Standardvertragsklauseln.

e) PostHog Inc. (USA), Verarbeitung auf Servern in der EU (Frankfurt am Main): Analyse und Fehlererkennung, nur mit Einwilligung der jeweiligen Nutzer; Bildschirmaufzeichnungen können Daten enthalten, die im Dashboard angezeigt werden. Für einen möglichen Zugriff aus den USA gelten die Standardvertragsklauseln.

f) fiskaly (Österreich), nur wenn das Fiskal-Paket gebucht ist: technische Sicherheitseinrichtung (TSE) in der Cloud, Signatur der Bestellungen, Tagesabschlüsse und Exporte.

(2) Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragnehmer den Auftraggeber mindestens vier Wochen vorher in Textform. Der Auftraggeber kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die dieser Vertrag vorsieht (Art. 28 Abs. 4 DSGVO). Daten werden in ein Drittland nur unter den Voraussetzungen der Art. 44 bis 49 DSGVO übermittelt.

9. Keine Unterauftragsverarbeitung

Keine Unterauftragsverarbeiter des Auftragnehmers sind:

a) die Zahlungsdienstleister (derzeit Stripe und PayPal): Der Auftraggeber schließt den Vertrag mit ihnen selbst, und sie verarbeiten die Zahlungsdaten der Gäste als eigene Verantwortliche;

b) Kassensysteme (etwa WinOrder und HubRise), Telefon-Assistenten (etwa ElevenLabs), verbundene KI-Anwendungen, Webhooks und andere Anwendungen, die der Auftraggeber über die Schnittstellen anbindet, sowie sein eigener Mailserver: Der Auftragnehmer übermittelt Daten dorthin auf Weisung des Auftraggebers, der den Vertrag mit dem jeweiligen Anbieter selbst schließt;

c) die Anbieter der KI-Modelle für die Assistenten: Sie erhalten keine Namen, Kontaktdaten oder Adressen von Gästen;

d) die OpenStreetMap Foundation: Kartenbilder lädt der Browser direkt von ihrem Kartenserver, wobei sie die IP-Adresse und den angezeigten Ausschnitt erhält, keine Bestelldaten. Adressen in Koordinaten umrechnen und Routen planen geschieht auf eigenen Servern des Auftragnehmers, ohne Dritte.

10. Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen nach Art. 12 bis 22 DSGVO zu beantworten. Dazu dienen insbesondere die Kundenliste, der Export der Bestellungen und der Kundenliste und das Löschen auf Anfrage im Dashboard. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage an den Auftraggeber weiter.

(2) Er unterstützt den Auftraggeber bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit er mit den ihm vorliegenden Informationen dazu beitragen kann.

11. Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, möglichst innerhalb von 48 Stunden, per E-Mail an die Inhaber des Restaurants. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Der Auftragnehmer ergreift unverzüglich die Maßnahmen, die zum Schutz der Daten und zur Minderung möglicher Folgen nötig sind.

12. Rückgabe und Löschung nach Vertragsende

(1) Vor dem Ende des Vertrags kann der Auftraggeber seine Bestellungen und seine Kundenliste im Dashboard als Datei exportieren; das ist die Rückgabe der Daten. Der Inhaber kann den Export auch nach dem Ende noch abrufen, solange die Daten gespeichert sind.

(2) Nach dem Ende des Vertrags löscht oder anonymisiert der Auftragnehmer die personenbezogenen Daten des Auftraggebers innerhalb von drei Monaten, soweit nicht eine Pflicht zur Aufbewahrung nach dem Recht der Union oder eines Mitgliedstaats besteht. Die Anonymisierung abgeschlossener Bestellungen nach der eingestellten Frist (Abschnitt 7 g) läuft davon unabhängig weiter.

13. Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags und des Art. 28 DSGVO nötig sind.

(2) Der Auftraggeber kann die Einhaltung selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren, auch vor Ort. Kontrollen vor Ort sind mindestens vier Wochen vorher anzukündigen, finden zu den üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Jede Partei trägt ihre eigenen Kosten.

14. Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.

(2) Änderungen dieses Vertrags richten sich nach den Regeln für Änderungen der AGB. Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(3) Maßgeblich ist die deutsche Fassung; Übersetzungen dienen nur der Information.