← zurück

Vertrag zur Auftragsverarbeitung

gemäß Art. 28 DSGVO · Anlage zum Nutzungsvertrag „Gastimo" · Stand: [TT.MM.JJJJ]

⚠️ Entwurf/Vorlage. Vollständiges Grundgerüst nach Art. 28 DSGVO, aber kein Ersatz für anwaltliche/DSB-Prüfung. Vor dem ersten Kunden die [Platzhalter] füllen (Parteien, Fristen), die Anlagen (TOM, Sub-Prozessoren) an den tatsächlichen Betrieb anpassen und prüfen lassen.

Verantwortlicher (Auftraggeber):
[Kunde: Firma, Anschrift, vertreten durch …]

Auftragsverarbeiter (Anbieter von Gastimo):
CP-Labs, Inhaber Christian Pudlo, Am Hambiegel 29, 76706 Dettenheim, Deutschland

– nachfolgend gemeinsam „Parteien" –

§ 1 Gegenstand und Dauer

  1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Erbringung der im Nutzungsvertrag beschriebenen Reservierungs- und Gästeverwaltungs-Leistungen („Gastimo").
  2. Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags. Regelungen zur Löschung und Rückgabe (§ 10) gelten über das Vertragsende hinaus.

§ 2 Art, Umfang und Zweck; Datenkategorien; Betroffene

  1. Zweck: Betrieb eines Online-Reservierungssystems für den Gastronomiebetrieb des Verantwortlichen (Entgegennahme, Verwaltung, Erinnerung und Auswertung von Tisch- und Erlebnisreservierungen sowie zugehörige Kommunikation mit den Gästen).
  2. Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln (E-Mail/Nachricht an den Gast), Löschen – automatisiert über die Software.
  3. Kategorien personenbezogener Daten:
    • Stammdaten der Gäste: Vor-/Nachname, E-Mail-Adresse, Telefonnummer, ggf. PLZ/Ort;
    • Reservierungsdaten: Datum, Uhrzeit, Personenzahl, Tisch/Bereich, Kanal, Status, Kennzeichen;
    • frei eingegebene Anmerkungen und Wünsche der Gäste – diese können Angaben zu Ernährung/Allergien und damit ggf. Gesundheitsdaten (Art. 9 DSGVO) enthalten;
    • Kommunikationsinhalte (z. B. E-Mail-/WhatsApp-Nachrichten zur Reservierung);
    • Nutzerkonten des Verantwortlichen (Mitarbeitende): Anmeldename, Rolle, Protokolldaten.
  4. Kategorien betroffener Personen: Gäste des Verantwortlichen sowie dessen Beschäftigte, die Gastimo nutzen.
  5. Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung – insbesondere für eine etwaige nach Art. 9 DSGVO erforderliche Rechtsgrundlage bei Gesundheitsdaten – verantwortlich.

§ 3 Weisungsbindung

  1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag und die Nutzung der Software sind die Grund-Weisung; einzelne Weisungen können in Textform ergänzt werden.
  2. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen.

§ 4 Technisch-organisatorische Maßnahmen (TOM)

  1. Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragsdauer auf dem Stand der Technik. Maßnahmen dürfen fortentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

§ 5 Vertraulichkeit

  1. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder gesetzlich zur Verschwiegenheit verpflichtet sind.

§ 6 Unterauftragsverarbeiter

  1. Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.
  2. Wechsel oder neue Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mit angemessener Frist in Textform an; der Verantwortliche kann aus wichtigem, datenschutzbezogenem Grund widersprechen.
  3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein gleichwertiges Datenschutzniveau. Bei Übermittlungen in Drittländer werden geeignete Garantien (z. B. EU-Standardvertragsklauseln) geschlossen.

§ 7 Unterstützung des Verantwortlichen

  1. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Beantwortung von Betroffenenanfragen (Art. 15–22 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten (Art. 32–36 DSGVO).
  2. Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen, leitet dieser unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

§ 8 Meldung von Datenschutzverletzungen

  1. Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von [z. B. 48] Stunden nach Kenntnis, mit den ihm verfügbaren Informationen.

§ 9 Nachweise und Kontrollen

  1. Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage nach – vorrangig durch geeignete Dokumentation (z. B. TOM-Beschreibung, ggf. Zertifikate der Unterauftragsverarbeiter).
  2. Der Verantwortliche kann sich nach angemessener Vorankündigung von der Einhaltung überzeugen; vor Ort nur, soweit erforderlich, unter Wahrung der Betriebsabläufe und der Rechte anderer Mandanten.

§ 10 Löschung und Rückgabe

  1. Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter die Daten oder gibt sie nach Wahl des Verantwortlichen zurück, spätestens innerhalb von [z. B. 30] Tagen nach Vertragsende – einschließlich bestehender Sicherungskopien im Rahmen der üblichen Rotationszyklen.
  2. Gesetzliche Aufbewahrungspflichten bleiben unberührt; betroffene Daten werden gesperrt statt gelöscht.

§ 11 Haftung

  1. Für die Haftung gelten die Regelungen des Nutzungsvertrags (AGB) sowie Art. 82 DSGVO. Im Innenverhältnis trägt jede Partei die Verantwortung für den ihr zuzurechnenden Verstoß.

Anlage 1 – Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

Beschreibung des Ist-Zustands; einzelne Punkte bitte an den tatsächlichen Betrieb anpassen und bei Änderungen fortschreiben.

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Verfahren zur regelmäßigen Überprüfung

Anlage 2 – Genehmigte Unterauftragsverarbeiter

DienstleisterZweckOrt / Übermittlung
IONOS SEHosting / Serverbetrieb, Rechenzentrum Deutschland (EU)
[E-Mail-/SMTP-Anbieter]Versand der Gäste-E-Mails (Bestätigung, Erinnerung, Bewertung)[EU]
Meta Platforms (WhatsApp) – nur bei aktiviertem WhatsApp-Modul Zwei-Wege-Chat zur ReservierungUSA – EU-Standardvertragsklauseln
Anthropic – nur bei aktiviertem KI-Modul KI-Antwortentwürfe für BewertungenUSA – EU-Standardvertragsklauseln

Nicht aktive Module übermitteln keine Daten an die jeweiligen Anbieter. Reserve-with-Google, Instagram/Facebook-Buttons u. Ä. leiten Gäste lediglich zum Buchungs-Widget des Verantwortlichen und sind keine Auftragsverarbeitung durch den Auftragsverarbeiter.

Siehe auch: AGB · Datenschutz · Impressum