Auftragsverarbeitungsvertrag

Dieser Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DSGVO) gilt zwischen dem Gastronomiebetrieb, der das Bestellsystem SmartBestellt nutzt („Auftraggeber“ bzw. „Verantwortlicher“), und SmartBestellt, Enkircher Weg 25, 59425 Unna („Auftragnehmer“). Er ergänzt den Nutzungsvertrag (AGB) und wird mit diesem Bestandteil des Vertragsverhältnisses.

Der Auftraggeber bleibt Verantwortlicher für die Daten seiner Gäste. Der Auftragnehmer verarbeitet sie nur nach den Weisungen des Auftraggebers in diesem Vertrag.

Gegenstand ist die Bereitstellung des Bestellsystems: Der Auftragnehmer speichert und verarbeitet die Daten, die Gäste im Shop des Auftraggebers eingeben, damit der Auftraggeber Bestellungen entgegennehmen, bearbeiten, abrechnen und dokumentieren kann. Zwecke: Entgegennahme und Abwicklung von Bestellungen, Benachrichtigung des Auftraggebers, Bestätigungs- und Statusmails an Gäste, Verwaltung von Kundenkonten, Bondruck, Anbindung der Online-Zahlung, technischer Betrieb und Sicherheit.

Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

• Datenarten: Name, E-Mail-Adresse, Telefonnummer, Lieferadresse und Lieferhinweise, Bestellinhalt, Bestellzeit, Zahlungsart und Vermerk „online bezahlt“ samt Zahlungskennung, Anmerkungen der Gäste, Tischnummer, bei Kundenkonten Zugangsdaten (Passwort nur als Hash) und Profildaten, technische Protokolldaten (z. B. IP-Adresse in Sicherheitsprotokollen).
• Betroffene: Gäste und Kunden des Auftraggebers, Mitarbeiter des Auftraggebers mit Zugang zum Dashboard.
• Besondere Kategorien von Daten (Art. 9 DSGVO) werden nicht verlangt. Freitextangaben der Gäste (z. B. zu Allergien) kann der Auftraggeber im Einzelfall erhalten; er weist die Gäste darauf hin, dass dort keine Gesundheitsdaten eingetragen werden sollen, soweit nicht erforderlich.

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist durch Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; dann teilt er dies vorab mit, soweit rechtlich zulässig. Weisungen sind dieser Vertrag und die Einstellungen im Dashboard; weitere Weisungen sind in Textform zu erteilen. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf sie bis zur Klärung aussetzen.

• Vertraulichkeit: Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
• Sicherheit: Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage 1) und entwickelt sie fortlaufend weiter.
• Betroffenenrechte: Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch. Gäste können Daten ihres Kundenkontos im Shop selbst einsehen, herunterladen und das Konto löschen. Wendet sich ein Betroffener direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.
• Pflichten des Auftraggebers: Der Auftragnehmer unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen, Konsultationen der Aufsichtsbehörde und der Einhaltung seiner Pflichten nach Art. 32 bis 36 DSGVO, soweit dies im Rahmen seiner Möglichkeiten liegt.
• Datenpannen: Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel binnen [Stunden] Stunden nach Kenntnis, mit den Angaben, die für die Meldung des Auftraggebers nach Art. 33 DSGVO nötig sind.
• Verzeichnis: Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten für diese Auftragsverarbeitung (Art. 30 Abs. 2 DSGVO).
• Datenschutzbeauftragter: [Name und Kontakt des Datenschutzbeauftragten oder „nicht erforderlich“].

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die beim Vertragsschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 2. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) mindestens [Anzahl Wochen] vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Wird der Widerspruch nicht ausgeräumt, können beide Seiten den Nutzungsvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.

Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag und haftet für dessen Pflichtverletzungen wie für eigene.

Keine Unterauftragsverarbeiter sind Dienste, die der Auftraggeber selbst beauftragt und die in eigener Verantwortung handeln, insbesondere der Zahlungsdienst, dessen Konto der Auftraggeber betreibt (derzeit Mollie), und dessen Zahlungsmittelanbieter.

Die Verarbeitung findet in Deutschland bzw. innerhalb der EU/des EWR statt. Eine Übermittlung in ein Drittland erfolgt nur mit vorheriger Zustimmung des Auftraggebers und wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Sollte ein Unterauftragsverarbeiter Daten in einem Drittland verarbeiten, ist das in Anlage 2 angegeben.

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer. Vor-Ort-Kontrollen kündigt der Auftraggeber mit angemessener Frist (in der Regel [Tage] Tage) an, führt sie während der üblichen Geschäftszeiten ohne Störung des Betriebs durch und verpflichtet Prüfer zur Verschwiegenheit. Der Nachweis kann auch durch aktuelle Zertifikate, Prüfberichte oder die Beschreibung der Maßnahmen in Anlage 1 erbracht werden.

Nach Ende des Nutzungsvertrags löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück, nach einer Frist von [Tage] Tagen für den Export, und löscht vorhandene Kopien, soweit keine gesetzliche Pflicht zur Speicherung besteht. Kontaktdaten in Bestellungen werden nach der im Dashboard eingestellten Aufbewahrungsfrist des Auftraggebers automatisch entfernt. Die Löschung bestätigt der Auftragnehmer auf Verlangen in Textform. Datensicherungen werden im Rahmen des regulären Zyklus überschrieben (längstens nach [Tage] Tagen).

Für die Haftung gelten Art. 82 DSGVO und im Verhältnis der Parteien zueinander die Haftungsregeln der AGB. Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Änderungen bedürfen der Textform.

• Zutritts- und Zugriffskontrolle: Betrieb auf Servern eines deutschen Hosting-Anbieters mit eigenen Zutrittskontrollen; Zugriff auf Server und Datenbank nur für befugte Personen mit Schlüsselauthentifizierung; Anbieter-Konto mit Passwort mindestens 12 Zeichen und Zwei-Faktor-Anmeldung (Authenticator-App) im Produktivbetrieb.
• Zugangskontrolle und Rollen: Getrennte Rollen (Anbieter, Inhaber eines Restaurants, Gast). Inhaber sehen nur Daten ihres eigenen Restaurants (Mandantentrennung), Gäste nur ihre eigenen Bestellungen. Zugriffe des Anbieters im Support-Zugriff werden protokolliert.
• Passwörter und Geheimnisse: Passwörter nur als gesalzener Hash (scrypt) gespeichert; Zugangsschlüssel (z. B. Zahlungsdienst, Mailzugang, Druckertoken, Zwei-Faktor-Geheimnis) mit AES-256-GCM verschlüsselt; Sitzungen mit zufälligen Token in Cookies (HttpOnly, SameSite, im Produktivbetrieb Secure).
• Weitergabekontrolle: Verschlüsselte Übertragung (TLS/HTTPS) zwischen Browser und Server und zu Mail- und Zahlungsdienst; Bestellungen werden serverseitig berechnet und geprüft; Webhooks und Rückmeldungen von Zahlungsdiensten werden beim Zahlungsdienst nachgeprüft.
• Eingabe- und Änderungskontrolle: Änderungsverlauf (Audit-Log) für Änderungen am Restaurant, Sicherheitsprotokoll für Anmeldungen und sensible Aktionen des Anbieters; Rechte-Prüfung bei jeder Schreibaktion.
• Missbrauchsschutz: Mengenbegrenzung bei Anmeldung, Bestellung, Passwort-Rücksetzung und Kontaktformular; Sperre nach Fehlversuchen; Schutz vor fremden Seitenaufrufen (Same-Origin-Prüfung).
• Verfügbarkeit und Belastbarkeit: Regelmäßige Datensicherung der Datenbank ([Intervall, Ort der Sicherung]); Wiederanlauf über Neustart/Wiederherstellung; Überwachung der Erreichbarkeit ([Art der Überwachung]).
• Datenminimierung und Löschung: Kontaktdaten in Bestellungen werden nach der eingestellten Frist (Standard 180 Tage) automatisch entfernt; Probebestellungen im Demo-Shop werden nach einer Stunde gelöscht; Gäste können ihr Konto selbst löschen; E-Mail-Ausgangskorb löscht erledigte Einträge nach 30 Tagen.
• Trennungsgebot: Daten verschiedener Restaurants werden logisch getrennt (je Restaurant eigene Zuordnung); Test- und Demo-Daten sind von Produktivdaten getrennt.
• Organisation: Verpflichtung der Mitarbeitenden auf Vertraulichkeit, Meldeweg für Datenpannen, regelmäßige Überprüfung der Maßnahmen ([verantwortliche Person und Rhythmus]).

• Hosting (Server, Datenbank): [Hosting-Anbieter mit Sitz, z. B. Name, Anschrift] – Standort der Server: [Land bzw. Rechenzentrum]. Zweck: Betrieb von Anwendung und Datenbank. Betroffene Daten: alle Daten dieses Vertrags.
• E-Mail-Versand: [Maildienst mit Sitz] – Zweck: Versand von Bestätigungen, Statusmeldungen, Passwort-Mails und Rechnungen. Betroffene Daten: E-Mail-Adresse, Name und Bestellinhalt in den Nachrichten. Standort der Verarbeitung: [Standort].
• Weitere Dienstleister: [z. B. Backup-Speicher, Fehlerüberwachung – oder „keine“]