Vereinbarung über die Auftragsverarbeitung

nach Art. 28 Abs. 3 der Verordnung (EU) 2016/679 (DSGVO), Plattform denschOrder

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter betreibt die Kassen- und Bestellplattform denschOrder (denschorder.com) und verarbeitet in diesem Rahmen personenbezogene Daten im Auftrag des Verantwortlichen. Gegenstand ist die Bereitstellung und der Betrieb der Plattform für den gastronomischen Betrieb des Verantwortlichen (Kasse/Terminal, Selbstbestellterminal, Online-Shop, Bon-/Belegausgabe, Zahlungsabwicklung und, sofern genutzt, Bonus-/Rewards-Programm).

(2) Die Vereinbarung gilt ab beiderseitiger Unterzeichnung für die Dauer des Nutzungsverhältnisses und endet, wenn der Zugang beendet und die zugehörigen Daten nach § 10 gelöscht bzw. bis zum Ablauf gesetzlicher Aufbewahrungsfristen gesperrt sind.

§ 2 Art und Zweck der Verarbeitung

Aufnahme und Abwicklung von Bestellungen (Theke/Terminal, Selbstbestellterminal, Online-Shop), Zubereitungs- und Ausgabesteuerung (Küchen-/Bon-Druck, Statusanzeige), Abrechnung und Zahlungsabwicklung (Bar, Karte/Terminal, Online-Zahlarten), Erstellung fiskalkonformer Belege mit technischer Sicherheitseinrichtung (TSE) nach KassenSichV, Rechnungs-/Belegzustellung sowie, sofern der Verantwortliche es aktiviert, Führung eines Bonus-/Rewards-Programms (Mitgliedskonten, Punkte, Prämien) einschließlich der zugehörigen E-Mail-Benachrichtigungen. Die Verarbeitung findet in der EU statt; zu Zahlungs-/Fiskaldienstleistern und Sicherungskopien siehe Anlage 2.

§ 3 Kategorien betroffener Personen und Daten

(1) Betroffene: Gäste/Besteller des Verantwortlichen (an Theke, Terminal und im Online-Shop), Teilnehmer des Bonus-/Rewards-Programms sowie Beschäftigte des Verantwortlichen mit Plattform-Zugang.

(2) Datenarten: Bestelldaten (Artikel, Mengen, Konfiguration, Notizen zur Zubereitung), bei Online-/Lieferbestellungen Kontakt- und ggf. Lieferdaten (Name, E-Mail, Telefon, Adresse), Zahlungsdaten (Betrag, Zahlart, Transaktions-/Autorisierungsreferenzen der Zahlungsdienstleister, keine vollständigen Kartennummern), fiskalische Belegdaten (Belegnummer, TSE-Signatur, Zeitpunkt), beim Rewards-Programm Mitgliedsdaten (E-Mail, Punktestand, Stufe, zugeordnete Bestell-/ Umsatzhistorie), freiwilliges Gästefeedback zu Bestellvorgang und Essen (Bewertung, Grund aus einer festen Liste, Sprache, Zeitpunkt, Bezug zur Bestellung bzw. zum Terminal), der Tipp auf den Bewertungs-Link der Bestellverfolgung (Bestellung, Zeitpunkt, Web oder App) und öffentliche Bewertungen, die der Verantwortliche einträgt oder über die Schnittstelle des Bewertungsportals abrufen lässt (Sterne, Name wie beim Bewertungsportal, Text, Zeitpunkt) mit ihrer Zuordnung zu einer oder mehreren Bestellungen desselben Besuchs und, wenn der Verantwortliche einen eigenen KI-Schlüssel hinterlegt, der daraus erstellten Zusammenfassung je Monat (ohne Namen), Beschäftigtendaten (Name/Kennung, Rolle; bestätigt jemand, dass eine Zutat keine Allergene enthält, Name bzw. Login und Zeitpunkt dieser Bestätigung als Nachweis für die Lebensmittelüberwachung, gelöscht mit jeder Änderung der Zutat; nutzt der Verantwortliche die Kostenrechnung, dazu Bruttostundenlohn und typische Arbeitszeiten je Wochentag, nur für den Inhaber sichtbar) sowie technische Protokolldaten (IP-Adresse im Online-Shop, nur zur Missbrauchsabwehr).

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags. Freitext-Notizen des Gastes (z. B. „ohne Zwiebeln") sind reine Zubereitungshinweise; der Verantwortliche wirkt darauf hin, dass dort keine Gesundheitsdaten erhoben werden.

§ 4 Pflichten und Rechte des Verantwortlichen

(1) Der Verantwortliche ist allein verantwortlich für die Rechtmäßigkeit der Verarbeitung (Art. 6 DSGVO), für die Information der betroffenen Personen (Art. 13/14 DSGVO) und für die Wahrung der Betroffenenrechte. Er ist als Kassenführender für die steuer- und aufzeichnungsrechtlichen Pflichten (GoBD, § 146a AO, KassenSichV) verantwortlich.

(2) Er benennt eine für Datenschutzfragen erreichbare Kontaktadresse und hält seine Stammdaten aktuell. (3) Ihm stehen die Weisungsrechte nach § 5 und die Kontrollrechte nach § 11 zu.

§ 5 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung (Art. 28 Abs. 3 lit. a DSGVO); die Nutzung der Plattform-Funktionen gilt als dokumentierte Weisung, darüber hinausgehende Weisungen bedürfen der Textform. (2) Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung aussetzen. (3) Gesetzliche Verarbeitungspflichten teilt er vorab mit, soweit nicht verboten.

§ 6 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO); die Pflicht besteht nach Auftragsende fort.

§ 7 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO (Art. 28 Abs. 3 lit. c) und hält sie auf dem Stand der Technik; das Schutzniveau wird nicht unterschritten. Wesentliche Änderungen werden mitgeteilt.

§ 8 Unterauftragsverarbeiter und Drittlandübermittlungen

(1) Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter. (2) Beabsichtigte Änderungen teilt der Auftragsverarbeiter in Textform mit; der Verantwortliche kann binnen 14 Tagen aus wichtigem Grund widersprechen (dann außerordentliches Kündigungsrecht). (3) Die Pflichten dieser Vereinbarung werden vertraglich weitergegeben (Art. 28 Abs. 4 DSGVO).

(4) Die Verarbeitung findet in Deutschland bzw. der EU statt. Die externen Sicherungskopien bei Microsoft (Anlage 2) verlassen den Server ausschließlich AES-256-verschlüsselt; der Schlüssel verbleibt beim Auftragsverarbeiter. Übermittlungen in Drittländer erfolgen nur bei Erfüllung der Voraussetzungen des Kapitels V DSGVO.

(5) Bindet der Verantwortliche ein eigenes Konto eines Drittanbieters an (z. B. sein ready2order-Kassenkonto, ein eigenes sevdesk-Buchhaltungskonto oder einen eigenen API-Schlüssel der Anthropic PBC für die KI-Zusammenfassung der Bewertungen), ist er insoweit selbst Vertragspartner des jeweiligen Anbieters; dieser wird dadurch nicht Unterauftragsverarbeiter des Auftragsverarbeiters. Für die KI-Zusammenfassung übermittelt der Auftragsverarbeiter auf Weisung des Verantwortlichen je Bewertung nur Sterne, Tag und Text, ohne Namen, an Anthropic (USA); die Übermittlung stützt sich auf die Standardvertragsklauseln im Vertrag des Verantwortlichen mit Anthropic. Entfernt der Verantwortliche den Schlüssel, endet die Übermittlung.

§ 9 Unterstützungs- und Meldepflichten

(1) Der Auftragsverarbeiter unterstützt bei Anträgen betroffener Personen (Art. 12 bis 23 DSGVO, Art. 28 Abs. 3 lit. e); die Plattform stellt Auskunfts-, Korrektur-, Export- und Löschfunktionen bereit, soweit keine Aufbewahrungspflicht entgegensteht (§ 10). (2) Er unterstützt bei Art. 32 bis 36 DSGVO (lit. f). (3) Datenschutzverletzungen meldet er unverzüglich mit den Angaben nach Art. 33 Abs. 3 DSGVO an die hinterlegte Adresse.

§ 10 Löschung, Sperrung und gesetzliche Aufbewahrung

(1) Fiskal- und Buchungsdaten (abgeschlossene Bestellungen, Belege, TSE-Signaturen, Zahlungsvorgänge) unterliegen den gesetzlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB, KassenSichV; i. d. R. 10 Jahre). Sie werden für diese Dauer aufbewahrt und nicht vorzeitig gelöscht; ein Löschverlangen führt bis Fristablauf zur Einschränkung der Verarbeitung (Sperrung).

(2) Rewards-/Bonusdaten (Mitgliedskonto, E-Mail, Punktestand) werden auf Verlangen des Betroffenen bzw. bei Kontolöschung entfernt; die aus fiskalischen Gründen aufzubewahrenden Belegdaten der zugehörigen Bestellungen bleiben davon unberührt (Abs. 1).

(2a) Gästefeedback bleibt 12 Monate mit der zugehörigen Bestellung verknüpft. Danach wird der Bezug gelöst; die Antwort wird nur noch anonym (ohne Bestellung, Uhrzeit und Sprache) für Auswertungen aufbewahrt. Bei Kontolöschung werden die Antworten zu den Bestellungen des Kontos gelöscht. Auf Widerspruch des Betroffenen löscht der Auftragsverarbeiter eine einzelne Antwort, ohne Belegdaten zu berühren.

(2b) Öffentliche Bewertungen, die der Verantwortliche einer oder mehreren Bestellungen zuordnet, bleiben ebenso 12 Monate verknüpft. Danach entfällt der Bezug zur Bestellung; die Angaben zur Bestellung (Produkte, Feedback, Wartezeit) bleiben anonym. Bewertungen, die über die Schnittstelle des Bewertungsportals abgerufen werden, spiegelt der Auftragsverarbeiter, solange der Verantwortliche verbunden ist: Sterne, Name, Text und Zeitpunkt bleiben, solange die Bewertung beim Portal öffentlich steht, und werden einmal täglich abgeglichen; was dort gelöscht oder geändert wurde, wird übernommen. Von Hand eingetragene Bewertungen und solche ohne bestehende Verbindung verlieren nach der Frist auch Name und Text, übrig bleiben Sterne und Woche. Der Tipp auf den Bewertungs-Link wird nach derselben Frist gelöscht. Bei Kontolöschung entfallen Tipp, Bezug, Name und Text sofort. Eine KI-Zusammenfassung enthält nur Bewertungen, die es noch gibt: wird eine davon gelöscht, geändert, anonymisiert oder auf Widerspruch des Betroffenen herausgenommen, wird sie binnen Minuten neu erstellt oder gelöscht.

(2c) Stundenlohn und Dienstplan der Beschäftigten werden nur für die Kostenrechnung des Verantwortlichen genutzt, erscheinen in keinem Export und auf keinem Display und sind nur für den Inhaber sichtbar. Sie werden gelöscht, sobald der Verantwortliche sie entfernt oder den Beschäftigten löscht.

(2d) Warenkorb-Erinnerungen (nur wenn der Verantwortliche sie einschaltet): der offene Warenkorb eines angemeldeten Mitglieds wird nur mit dessen Einwilligung in die Erinnerung gegenüber dem Verantwortlichen gespeichert und nach 3 Tagen, bei Bestellung oder bei Widerruf gelöscht. Zu einer verschickten Erinnerung werden Inhalt, Kanal, vorgeschlagenes Produkt, eine zufällige Link-Kennung, Versand- und Klickzeitpunkt und der Bezug zu einer Bestellung der folgenden 7 Tage gespeichert; der Verantwortliche sieht davon nur Summen. Der Inhalt wird nach 14 Tagen oder beim Widerruf gelöscht, der Rest nach 90 Tagen. Bei Kontolöschung entfallen der Warenkorb sowie Bezug und Inhalt der Erinnerungen.

(3) Technische Protokolldaten (IP im Online-Shop) werden kurzfristig gelöscht. Nach Ende des Nutzungsverhältnisses werden die nicht aufbewahrungspflichtigen personenbezogenen Daten auf Wahl des Verantwortlichen gelöscht oder herausgegeben (Art. 28 Abs. 3 lit. g); verschlüsselte Sicherungskopien rotieren automatisch aus (Vorhaltedauer 14 Tage).

§ 11 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen bereit (Art. 28 Abs. 3 lit. h). (2) Der Verantwortliche kann nach angemessener Vorankündigung zu üblichen Geschäftszeiten Überprüfungen durchführen (vorrangig durch Auskünfte/Dokumentationen); der Auftragsverarbeiter wirkt mit.

§ 12 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. (2) Änderungen bedürfen der Textform; es gilt deutsches Recht; bei Widersprüchen geht diese Vereinbarung in Datenschutzfragen vor. (3) Die Unwirksamkeit einzelner Bestimmungen lässt die übrigen unberührt.