Auftragsverarbeitungsvertrag (AVV)

Vorläufige Fassung – noch nicht anwaltlich geprüft; einzelne Regelungen werden noch ergänzt. Sie gilt mit Ihrer Zustimmung, bis eine geprüfte Fassung sie ablöst, der Sie erneut zustimmen.

Vertragsparteien

Auftraggeber: der Kunde (Verantwortlicher), der die Software Butler OS nach den Allgemeinen Geschäftsbedingungen von Butler OS nutzt.

Auftragnehmer (Auftragsverarbeiter): Tobias Künniger Einzelunternehmen unter der Geschäftsbezeichnung „TK Marketing & Verwaltung“ An der Heidteichsriede 22 38154 Königslutter Deutschland E-Mail: t.kuenniger@tk-value.de

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers bei der Bereitstellung der Software Butler OS gemäß den Allgemeinen Geschäftsbedingungen (Hauptvertrag). Einzelheiten zu Art, Zweck, Datenkategorien und betroffenen Personen enthält Anlage 1.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags einschließlich des Testzeitraums. Er gilt darüber hinaus fort, solange der Auftragnehmer Auftragsdaten verarbeitet, insbesondere bis zur Löschung oder Rückgabe nach § 11.

§ 2 Verarbeitungen außerhalb der Auftragsverarbeitung

Folgende Verarbeitungen nimmt der Auftragnehmer als eigener Verantwortlicher vor. Sie sind nicht Gegenstand dieses Vertrags; über sie informiert die Datenschutzerklärung von Butler OS.

– Benutzerkonten, Anmeldung, Zurücksetzen des Passworts und Einladungen: Zugang zur Plattform und Durchsetzung der Berechtigungen. – Vertragsabwicklung und Abrechnung des Abonnements (Stripe Billing): Durchführung des Vertrags mit dem Kunden. – Zugriffsprotokolle des Hostings (Vercel): Betrieb und Sicherheit. – Anfragebegrenzung (Upstash; IP-Adresse und Funktionsbereich, Speicherdauer 60 Sekunden): Sicherheit und Missbrauchsabwehr. – Fehleranalyse (Sentry, bereinigte Fehlerberichte): Stabilität. – Audit-Log fachlicher Änderungen: Nachvollziehbarkeit und Sicherheit der Plattform; zugleich Nachweis für den Kunden. – Diagnose zu Zahlungsnachrichten durch den Betreiber (nur Metadaten): Betrieb der Zahlungsanbindung.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen werden durch den Hauptvertrag, diesen Vertrag und die Nutzung und Konfiguration der Software durch den Auftraggeber festgelegt (z. B. Anlegen und Ändern von Reservierungen, Einstellungen zu Benachrichtigungen, Tagesübergabe, Warteliste, Zeiterfassung, Löschung von Einträgen, soweit die Software dies anbietet). Weitere Weisungen erteilt der Auftraggeber in Textform an t.kuenniger@tk-value.de.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung bis zur Bestätigung aussetzen.

(4) Weisungen, die über den Funktionsumfang der Software hinausgehen (z. B. manuelle Datenbankarbeiten), führt der Auftragnehmer nach vorheriger Ankündigung des voraussichtlichen Aufwands gegen eine Vergütung von 80 € je Stunde aus (als Kleinunternehmer ohne Umsatzsteuer, § 19 UStG). Keine Vergütung fällt an, soweit die Weisung durch einen Verstoß des Auftragnehmers veranlasst ist.

§ 4 Vertraulichkeit

(1) Der Auftragnehmer gewährleistet, dass sich alle Personen, die zur Verarbeitung der Auftragsdaten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(2) Der Auftragnehmer setzt für die Entwicklung KI-Assistenten ein. Diese dürfen in der Produktionsumgebung nur ohne Zugriff auf Auftragsdaten tätig werden (z. B. für Datenbankänderungen, Konfiguration, Zustandsprüfungen und bereinigte Fehlerberichte). Abfragen, die personenbezogene Daten von Gästen oder Beschäftigten zurückgeben, führen ausschließlich nach Abs. 1 zur Vertraulichkeit verpflichtete Personen selbst aus.

§ 5 Sicherheit der Verarbeitung

(1) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 3 beschrieben sind.

(2) Der Auftragnehmer darf Maßnahmen durch gleichwertige oder bessere ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen dokumentiert er.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

(2) Der Auftragnehmer informiert den Auftraggeber vor jeder beabsichtigten Änderung (Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters) mit einer Frist von vier Wochen in Textform. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund in Textform widersprechen. Die Parteien bemühen sich dann um eine einvernehmliche Lösung. Kommt sie nicht zustande, kann jede Partei den Hauptvertrag zum Zeitpunkt der Änderung kündigen; im Voraus gezahlte Entgelte für die Zeit danach erstattet der Auftragnehmer anteilig.

(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO).

(4) Keine Unterauftragsverarbeitung sind Leistungen, die der Auftragnehmer als Nebenleistung in Anspruch nimmt, ohne dass Auftragsdaten verarbeitet werden (z. B. Telekommunikationsleistungen).

§ 7 Übermittlungen in Drittländer

(1) Der Auftragnehmer verarbeitet Auftragsdaten nach Möglichkeit in der EU. Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(2) Mehrere Unterauftragsverarbeiter haben ihren Sitz in den USA oder in Singapur (Anlage 2). Die Angaben zur Übermittlungsgrundlage je Unterauftragsverarbeiter werden noch ergänzt.

§ 8 Unterstützung bei Betroffenenrechten

(1) Der Auftragnehmer unterstützt den Auftraggeber angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO).

(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, sofern nicht anders vereinbart.

(3) Unterstützungsleistungen, die über die Funktionen der Software hinausgehen, vergütet der Auftraggeber nach § 3 Abs. 4, soweit sie nicht durch einen Verstoß des Auftragnehmers veranlasst sind. Der Auftragnehmer reagiert auf solche Anfragen innerhalb von fünf Werktagen nach Eingang.

§ 9 Meldung von Datenschutzverletzungen und weitere Unterstützung

(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO), spätestens innerhalb von 48 Stunden, per E-Mail an die Adresse der Inhaberin bzw. des Inhabers im Konto des Restaurants, bei Dringlichkeit zusätzlich telefonisch. Er stellt die Informationen nach Art. 33 Abs. 3 DSGVO zur Verfügung, soweit sie ihm vorliegen, und ergänzt sie, sobald weitere Informationen vorliegen. Der Auftragnehmer dokumentiert jede Verletzung einschließlich der ergriffenen Maßnahmen.

(2) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Benachrichtigung Betroffener, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

§ 10 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann vorrangig durch Selbstauskunft, aktuelle Dokumentation der Maßnahmen (Anlage 3) und Nachweise der Unterauftragsverarbeiter (z. B. deren Zertifizierungsberichte) erbracht werden.

(3) Kontrollen vor Ort sind mit einer Frist von vier Wochen anzukündigen, finden höchstens einmal je Kalenderjahr während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Anlassbezogene Kontrollen nach einer Verletzung des Schutzes personenbezogener Daten sind jederzeit mit angemessener Frist möglich. Die Kosten einer Kontrolle trägt der Auftraggeber, es sei denn, sie deckt einen Verstoß des Auftragnehmers auf.

§ 11 Löschung und Rückgabe nach Vertragsende

(1) Die Regelung zu Löschung und Rückgabe der Auftragsdaten nach Vertragsende wird noch ergänzt.

(2) Gelöschte Daten verbleiben in den Sicherungskopien des Datenbankanbieters bis zu deren Ablauf nach dessen Aufbewahrungsregeln. Die Sicherungskopien werden nur zur Wiederherstellung nach einem Ausfall verwendet. Wird eine Sicherung wiederhergestellt, löscht der Auftragnehmer die zuvor gelöschten Daten erneut.

§ 12 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, die Information der betroffenen Personen (insbesondere eigene Datenschutzinformation für Gäste und Beschäftigte) und die Wahrung der Betroffenenrechte verantwortlich.

(2) Er legt die Aufbewahrungsfristen für seine Daten fest, soweit die Software dies nicht automatisch umsetzt, und teilt dem Auftragnehmer Lösch- oder Anonymisierungsweisungen mit.

(3) Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 13 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags, soweit sie mit Art. 82 DSGVO vereinbar sind.

§ 14 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in datenschutzrechtlichen Fragen vor.

(2) Änderungen dieses Vertrags bedürfen der Textform.

(3) Es gilt deutsches Recht.

Anlage 1 – Beschreibung der Auftragsverarbeitung

Reservierungen Betroffene Personen: Gäste Datenkategorien: Name, E-Mail-Adresse, Telefonnummer, Personenzahl, Datum und Uhrzeit, Anmerkungen, Tisch, Status, Zeitpunkte; zufälliger Verwaltungscode Art und Zweck: Annahme, Bestätigung, Änderung und Stornierung von Reservierungen; Benachrichtigung des Restaurants

Warteliste Betroffene Personen: Gäste Datenkategorien: Name, E-Mail-Adresse, Telefonnummer, Wunschdatum, Personenzahl, Anmerkungen, Zugangscode Art und Zweck: Führung der Warteliste, automatisches Angebot frei gewordener Plätze

E-Mail-Benachrichtigungen Betroffene Personen: Gäste, vom Restaurant festgelegte Empfänger Datenkategorien: Empfängeradresse, Inhalt der E-Mail (siehe oben), Versandstatus; dauerhaft in der Versandwarteschlange gespeichert Art und Zweck: Versand transaktionaler E-Mails im Namen des Restaurants (Bestätigungen, Tagesübergabe)

Bestellungen am Tisch Betroffene Personen: Gäste Datenkategorien: Bestellinhalt, Anmerkungen, Tisch, Zeitpunkte, Status, optionaler Name, Zugangscode der Statusseite Art und Zweck: Bestellannahme, Küchenanzeige, Statusanzeige

Gast-Zahlungen (nur falls freigeschaltet) Betroffene Personen: Gäste Datenkategorien: Betrag, Status, Referenzen des Zahlungsdienstleisters; keine Kartendaten Art und Zweck: Zuordnung von Zahlungen zu Bestellungen

Beschäftigte (Stammdaten) Betroffene Personen: Beschäftigte des Restaurants Datenkategorien: Vor- und Nachname, Personalnummer, Beschäftigungsart, Tätigkeit, Ein- und Austritt, Soll-Arbeitszeit, optional Stundenlohn und Notizen Art und Zweck: Personalverwaltung im Rahmen der Zeiterfassung

Zeiterfassung Betroffene Personen: Beschäftigte Datenkategorien: Arbeitsbeginn und -ende, Pausen, Freigaben, Ablehnungsgründe, Korrekturen Art und Zweck: Erfassung und Freigabe von Arbeitszeiten, Export

Team-Zugänge (soweit Auftragsverarbeitung, vgl. § 2) Betroffene Personen: Beschäftigte mit Konto Datenkategorien: E-Mail-Adresse, Rolle, Zuordnung, Deaktivierung Art und Zweck: Rollenverwaltung durch den Kunden

Auswertungen Betroffene Personen: Gäste, Beschäftigte (indirekt) Datenkategorien: aggregierte Kennzahlen Art und Zweck: Auswertungen für das Restaurant

Audit-Log (soweit Auftragsverarbeitung, vgl. § 2) Betroffene Personen: Nutzer, Beschäftigte, indirekt Gäste Datenkategorien: interne Nutzerkennung, Zeitpunkt, Werte vor und nach Änderungen (ohne Namen und Kontaktdaten der Gäste bei Reservierungen) Art und Zweck: Nachvollziehbarkeit

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden von der Software nicht gezielt abgefragt. Freitextfelder (z. B. Anmerkungen von Gästen zu Unverträglichkeiten) können sie jedoch enthalten.

Anlage 2 – Unterauftragsverarbeiter

– Vercel Inc., USA (Hosting der Anwendung, Server-Funktionen, Zugriffs- und Laufzeitprotokolle): alle Daten im Durchlauf; Protokolle mit IP-Adresse und aufgerufener Adresse einschließlich darin enthaltener Zugangscodes. Server-Funktionen in Frankfurt am Main; weltweites Auslieferungsnetzwerk. – Supabase Pte. Ltd., Singapur (Datenbank, Anmeldedienst, Dateispeicher): sämtliche gespeicherten Auftragsdaten einschließlich Logos und Speisekartenbildern. – Resend (Plus Five Five, Inc.), USA (Versand transaktionaler E-Mails): Empfängeradresse, Betreff und Inhalt der E-Mails (Gastdaten, Tagesübergabe). – Upstash, Inc., USA (Anfragebegrenzung): IP-Adresse und Funktionsbereich, Speicherdauer 60 Sekunden. – Functional Software, Inc. (Sentry), USA (Fehleranalyse, Leistungsmessung, Überwachung der Hintergrundprozesse): bereinigte Fehlerberichte, aufgerufene Adressen einschließlich möglicher Zugangscodes, IP-Adresse des Browsers. EU-Datenregion.

Gast-Zahlungen über Stripe: Soweit Gast-Zahlungen freigeschaltet sind, werden sie über ein eigenes Stripe-Konto des Kunden abgewickelt; der Kunde schließt dafür einen eigenen Vertrag mit Stripe.

Keine Unterauftragsverarbeitung: Stripe Billing verarbeitet nur Daten des Kunden selbst (Vertragsabwicklung, eigener Zweck des Auftragnehmers). Die Texterkennung beim Import von Speisekarten läuft im Browser mit selbst bereitgestellten Dateien. Schriftarten werden selbst ausgeliefert. Es werden keine Analyse- oder Werbedienste eingesetzt.

Anlage 3 – Technische und organisatorische Maßnahmen

Der Auftragnehmer setzt derzeit folgende Maßnahmen um:

1. Zugangs- und Zugriffskontrolle – Anmeldung mit E-Mail-Adresse und Passwort über den Anmeldedienst des Datenbankanbieters – Passwörter mit mindestens 8 und höchstens 72 Zeichen – Bestätigte E-Mail-Adresse vor Anlage eines Restaurants und vor Annahme einer Einladung – Zurücksetzen des Passworts ohne Preisgabe, ob ein Konto existiert; nach einer Passwortänderung Abmeldung aller Sitzungen – Sitzungs-Cookies mit SameSite=Lax und einer Laufzeit von höchstens 400 Tagen – Rollenbasiertes Berechtigungsmodell (Inhaber, Manager, Mitarbeitende), serverseitig geprüft – Befristete Einladungen; der Einladungslink wird nur als Prüfwert (SHA-256) gespeichert – Deaktivierung von Zugängen mit sofortiger Wirkung, auch für laufende Live-Verbindungen – Begrenzung der Anfragen je IP-Adresse (u. a. Anmeldung 10 pro Minute, öffentliche Schreibzugriffe 30 pro Minute); bei Ausfall des Begrenzungsdienstes erfolgt keine Begrenzung

2. Mandantentrennung – Die Fachfunktionen schränken Abfragen serverseitig auf das Restaurant des angemeldeten Nutzers ein; Zugriffe auf Daten anderer Restaurants werden als „nicht gefunden“ beantwortet – Entzug der Zugriffsrechte der Schnittstellenrollen des Datenbankanbieters auf Tabellen, Sequenzen und Routinen des Anwendungsschemas

3. Verschlüsselung und Pseudonymisierung – Zugangscodes für Reservierungs-, Wartelisten- und Bestellseiten als zufällige Kennungen (UUID Version 4) – QR-Codes der Tische mit 6 kryptografisch zufälligen Zeichen, jederzeit neu erzeugbar – Keine Kartendaten im System, nur Referenzen des Zahlungsdienstleisters

4. Eingabe- und Weitergabekontrolle – Serverseitige Validierung von Eingaben – Signaturprüfung eingehender Zahlungs- und Abonnementnachrichten, Speicherung vor der Verarbeitung und Erkennung von Duplikaten – Einbettung des Widgets nur auf hinterlegten Domains (Prüfung im Browser) – Audit-Log fachlicher Änderungen mit Werten vor und nach der Änderung, gespeichert gemeinsam mit der Änderung

5. Datenminimierung – Logos und Speisekartenbilder werden neu kodiert, Metadaten entfernt, das Original wird nicht gespeichert – Der Einladungslink wird nach dem Versand aus der gespeicherten E-Mail entfernt – Bereinigung von Fehlerberichten: keine Nutzerzuordnung, keine Cookies, Anfrageinhalte oder Abfrageparameter; E-Mail-Adressen und Telefonnummern werden ersetzt – Entfernung sensibler Schlüssel und Kürzung von Werten in Server-Protokollen

6. Verfügbarkeit – Zentrale Abschaltschalter für kritische Funktionen – Überwachung des Takts der Hintergrundprozesse und Endpunkte zur Zustandsprüfung – Wiederholungsversuche für den Versand von E-Mails und die Verarbeitung von Zahlungsnachrichten

7. Organisatorische Maßnahmen – KI-Assistenten arbeiten in der Produktionsumgebung nur ohne Zugriff auf Auftragsdaten (§ 4 Abs. 2) – Getrennte Entwicklungs- und Produktionsumgebung mit Prüfung der Umgebungskonfiguration beim Start – Automatisierte Prüfungen (Format, Lint, Typen, Unit-Tests, Build) bei Änderungen am Hauptzweig und bei Pull Requests