Auftragsverarbeitungsvertrag (AVV) Taveloq · Vereinbarung nach Art. 28 DSGVO

Vertragsparteien§

Verantwortlicher (nachfolgend „Auftraggeber“):
Firma / Betrieb: ____________________
Anschrift: ____________________
Vertreten durch: ____________________

Auftragsverarbeiter (nachfolgend „Auftragnehmer“): Lars Menges, handelnd unter Taveloq
Zimmermannstraße 6, 21079 Hamburg

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien für die Verarbeitung personenbezogener Daten, die der Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Nutzung der Taveloq-Plattform durchführt. Er gilt für die Dauer des zugrunde liegenden Hauptvertrags (AGB).

1. Gegenstand und Dauer§

Gegenstand ist die Bereitstellung und der Betrieb der SaaS-Plattform Taveloq (digitale Speisekarte, QR-Tischbestellungen, Arbeitsbereich des Personals, betriebliche Auswertungen, Design). Die Dauer entspricht der Laufzeit des Hauptvertrags; endet dieser, endet auch dieser Vertrag, vorbehaltlich der Löschungs- und Rückgabepflichten aus Ziffer 9.

2. Art, Zweck, Datenarten und Kategorien betroffener Personen§

Art und Zweck der Verarbeitung: Speichern, Ordnen, Anzeigen, Übermitteln, Auswerten (aggregiert), Löschen und Anonymisieren von Daten zum Zweck des Betriebs der Bestell- und Speisekartenfunktion sowie des Personal-Arbeitsbereichs.

Kategorien personenbezogener Daten:

• Konto- und Zugangsdaten des Personals (E-Mail, Rolle, Zuordnung, Zeitstempel)
• Gast-Anzeigenamen und Bestellinhalte (Produkte, Mengen, Preise, Zeitpunkte, Status, Ereignisverlauf)
• Tisch-, Sitzungs- und Verifikationsdaten (zufällige IDs, gehashte Token, Zeitstempel)
• Service-Rufe und Gastnachrichten (Freitext)
• hochgeladene Medien mit etwaigem Personenbezug (z. B. Fotos)
• technische Missbrauchsschutz-Daten (Hashes von IP-Adresse, Client-Kennung, E-Mail)

Kategorien betroffener Personen:

• Beschäftigte und Beauftragte des Auftraggebers (Owner, Admin, Manager, Personal)
• Gäste des Auftraggebers, die über einen Tisch-QR-Code bestellen

3. Weisungsbindung§

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich dieses Vertrags und der Nutzung der Plattformfunktionen, sowie soweit gesetzlich verpflichtet. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.

4. Vertraulichkeit§

Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und stellt sicher, dass der Zugriff auf das für die jeweilige Aufgabe erforderliche Maß beschränkt bleibt.

5. Technische und organisatorische Maßnahmen§

Der Auftragnehmer trifft die erforderlichen technischen und organisatorischen Maßnahmen (TOM) nach Art. 32 DSGVO und hält sie auf einem dem Risiko angemessenen, aktuellen Stand. Hierzu gehören insbesondere verschlüsselte Datenübertragung, rollen- und standortbezogene Zugriffsrechte sowie die logische Trennung der Daten zwischen den einzelnen Gastronomiebetrieben.

6. Unterauftragsverarbeiter§

Der Auftraggeber erteilt eine allgemeine Genehmigung zur Beauftragung der nachfolgend genannten Dienstleister. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen (Hinzunahme/Austausch) mit angemessener Frist; der Auftraggeber kann aus wichtigem datenschutzrechtlichen Grund widersprechen. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auf.

Derzeit eingesetzt:

• Supabase (Authentifizierung, Datenbank, Datei-Speicher)
• Vercel (Hosting, Edge-Netzwerk)
• Stripe (Abonnement-Abrechnung)
• Google (Maps-/Rezensionslink)
• IONOS (transaktionaler E-Mail-Versand / SMTP)

7. Unterstützung bei Betroffenenrechten§

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) und leitet an ihn gerichtete Anfragen betroffener Personen unverzüglich weiter.

8. Datenschutzverletzungen§

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betreffen, unverzüglich, spätestens jedoch binnen 48 Stunden nach Bekanntwerden, und unterstützt ihn bei den Pflichten nach Art. 33, 34 DSGVO.

9. Löschung und Rückgabe§

Nach Abschluss der Verarbeitung löscht oder anonymisiert der Auftragnehmer die im Auftrag verarbeiteten Daten nach Wahl des Auftraggebers oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Plattform sieht eine automatische Minimierung direkter Gast- und Sitzungsdaten 48 Stunden nach Sitzungsende vor. Dabei werden auch gastseitig befüllbare Freitextfelder, insbesondere Sonderwünsche und Service-Nachrichten, neutralisiert. Anonymisierte Bestellfakten können ohne Personenbezug für Statistik und Analytics erhalten bleiben. Nach Vertragsende werden die operativen Einrichtungsdaten für eine 60-tägige Reaktivierungsfrist vorgehalten. Während dieser Frist kann eine Datenrückgabe auf Anfrage durch den Auftragnehmer erfolgen. Im Anschluss werden nicht mehr benötigte personenbezogene operative Daten unwiderruflich gelöscht oder vollständig anonymisiert; Organisations- und Standortbezeichnungen werden, soweit sie technisch für anonymisierte Statistiken fortbestehen, durch nicht personenbezogene Platzhalter ersetzt. Gesonderte gesetzliche bzw. nachweisbezogene Aufbewahrungsfristen bleiben unberührt.

10. Nachweise und Kontrollen§

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen. Der Nachweis erfolgt primär durch schriftliche Auskünfte und die Bereitstellung vorhandener Dokumentationen. Vor-Ort-Prüfungen durch den Auftraggeber sind nur nach rechtzeitiger Anmeldung, zu den üblichen Geschäftszeiten und nur bei Vorliegen eines zwingenden datenschutzrechtlichen Grundes zulässig, um den Betriebsablauf des Auftragnehmers nicht unverhältnismäßig zu stören.

11. Drittlandtransfers§

Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Soweit Dienstleister in den USA eingesetzt werden (z. B. Vercel, Stripe, Google), erfolgt der Datentransfer auf Grundlage des EU-US Data Privacy Frameworks (Angemessenheitsbeschluss der EU-Kommission).

12. Schlussbestimmungen§

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor. Es gilt deutsches Recht. Änderungen bedürfen der Textform.

Unterschriften§

Für den Auftraggeber (Gastronomiebetrieb):
Ort, Datum: ____________________
Unterschrift: ____________________

Für den Auftragnehmer (Taveloq):
Ort, Datum: ____________________
Unterschrift: ____________________