Auftragsverarbeitungsvertrag (AVV)

Präambel

Der Auftragsverarbeiter stellt dem Verantwortlichen unter der Marke RestRes (restres.de) eine Software zur Verwaltung von Tischreservierungen, Gästedaten und Gäste-Newslettern als Online-Dienst zur Verfügung (Software-as-a-Service). Grundlage ist der zwischen den Parteien geschlossene Vertrag über die Nutzung der Software RestRes (nachfolgend „Hauptvertrag“). Bei der Erbringung dieser Leistungen verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO.

§ 1 Gegenstand und Dauer des Auftrags

1. Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten im Rahmen des Betriebs der Software RestRes für den Verantwortlichen. Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit dessen Beendigung; die Pflichten aus § 10 (Löschung und Rückgabe) bestehen darüber hinaus fort.
3. Die Verarbeitung findet in Mitgliedstaaten der Europäischen Union bzw. des Europäischen Wirtschaftsraums statt. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO und nur im Rahmen der in Anlage 3 genannten Unterauftragsverhältnisse.

§ 2 Verantwortlichkeit und Weisungsrecht

1. Der Verantwortliche ist im Verhältnis der Parteien allein Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er ist für die Rechtmäßigkeit der Verarbeitung (insbesondere die Rechtsgrundlagen der Erhebung) sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich.
2. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.
3. Weisungen werden grundsätzlich durch die Nutzung der in der Software angelegten Funktionen erteilt (z. B. Anlegen, Ändern, Bestätigen, Stornieren, Exportieren, Anonymisieren und Löschen von Daten durch den Verantwortlichen selbst). Darüber hinausgehende Einzelweisungen bedürfen der Textform (E-Mail an kontakt@immca.de).
4. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 3 Pflichten des Auftragsverarbeiters

1. Vertraulichkeit: Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Kreis der zugriffsbefugten Personen ist auf das erforderliche Minimum beschränkt.
2. Technische und organisatorische Maßnahmen: Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und entwickelt sie entsprechend dem Stand der Technik fort. Ersatzmaßnahmen dürfen das Schutzniveau nicht unterschreiten; wesentliche Änderungen werden dokumentiert.
3. Verzeichnis: Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
4. Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen (§ 38 BDSG, Art. 37 DSGVO) derzeit nicht vorliegen. Ansprechstelle für den Datenschutz ist die Geschäftsführung, erreichbar unter kontakt@immca.de. Ändern sich die Voraussetzungen, wird ein Datenschutzbeauftragter bestellt und dem Verantwortlichen mitgeteilt.
5. Trennung: Die Daten des Verantwortlichen werden logisch von den Daten anderer Kunden getrennt verarbeitet (mandantengetrennte Datenhaltung, siehe Anlage 2).
6. Zweckbindung: Der Auftragsverarbeiter nutzt die im Auftrag verarbeiteten Daten für keine anderen Zwecke, insbesondere nicht für eigene Werbe- oder Analysezwecke, und gibt sie nicht an Dritte außerhalb der Anlage 3 weiter. Aggregierte, anonymisierte Statistiken ohne Personenbezug (z. B. Auslastungs-Kennzahlen für den Verantwortlichen selbst) bleiben zulässig. Im Auftrag verarbeitete Daten werden weder vom Auftragsverarbeiter noch — nach deren Vertragsbedingungen — von den in Anlage 3 genannten Unterauftragnehmern zum Training von KI-Modellen verwendet.

§ 4 Unterstützung des Verantwortlichen

1. Betroffenenrechte (Art. 12–23 DSGVO): Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen zu beantworten. Die Unterstützung erfolgt in erster Linie durch Selbstbedienungsfunktionen der Software, insbesondere: Datenauskunft/-übertragbarkeit (Art. 15, 20) durch Export aller zu einem Gast gespeicherten Daten als strukturierte CSV-Datei; Berichtigung (Art. 16) durch direkte Bearbeitung der Gastdaten; Löschung (Art. 17) durch unwiderrufliche Anonymisierung eines Gastes einschließlich seiner Reservierungshistorie; Widerruf von Einwilligungen (Art. 7 Abs. 3) durch den Abmeldelink in jeder Newsletter-E-Mail sowie die Verwaltung im System. Soweit ein Antrag mit diesen Funktionen nicht erfüllt werden kann, unterstützt der Auftragsverarbeiter auf Anfrage in Textform.
2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst inhaltlich.
3. Sicherheit, Meldepflichten, Folgenabschätzung (Art. 32–36): Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

§ 5 Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betrifft, unverzüglich nach Bekanntwerden an die im System hinterlegte Kontakt-E-Mail-Adresse des Verantwortlichen.
2. Die Meldung enthält, soweit bereits bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, betroffene Kategorien und ungefähre Anzahl, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen). Noch nicht verfügbare Informationen werden unverzüglich nachgereicht.
3. Die Meldung an die Aufsichtsbehörde (Art. 33) und die Benachrichtigung der betroffenen Personen (Art. 34) obliegen dem Verantwortlichen.

§ 6 Unterauftragsverhältnisse

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung weiterer Auftragsverarbeiter (Unterauftragnehmer). Die bei Vertragsschluss eingesetzten Unterauftragnehmer sind in Anlage 3 aufgeführt und hiermit genehmigt.
2. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragnehmers in Textform (E-Mail) mit einer Frist von 30 Tagen vor Wirksamwerden. Der Verantwortliche kann aus wichtigem datenschutzrechtlichen Grund widersprechen. Kommt keine einvernehmliche Lösung zustande, sind beide Parteien berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen; eine kundenindividuelle Infrastruktur schuldet der Auftragsverarbeiter nicht.
3. Der Auftragsverarbeiter erlegt jedem Unterauftragnehmer durch Vertrag dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt der Unterauftragnehmer seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Pflichterfüllung.
4. Bei Verarbeitung außerhalb der EU/des EWR stellt der Auftragsverarbeiter die Zulässigkeit nach Art. 44 ff. DSGVO sicher (insbesondere EU-Standardvertragsklauseln und/oder ein Angemessenheitsbeschluss wie das EU-U.S. Data Privacy Framework; Details je Unterauftragnehmer in Anlage 3).
5. Nicht als Unterauftragsverhältnisse gelten Nebenleistungen ohne Zugriff auf Auftragsdaten (z. B. Domain-/ DNS-Verwaltung, Telekommunikation, Wartung ohne Datenzugriff) sowie rein anonyme Schnittstellen (z. B. Wetter- und Feiertagsdaten).

§ 7 Kontrollrechte des Verantwortlichen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
2. Nachweise werden vorrangig erbracht durch: (a) diesen Vertrag nebst Anlagen, (b) aktuelle Beschreibungen der technischen und organisatorischen Maßnahmen, (c) Zertifizierungen und Prüfberichte der eingesetzten Unterauftragnehmer bzw. ihrer Rechenzentren (z. B. ISO 27001, SOC 2), (d) schriftliche Auskünfte des Auftragsverarbeiters.
3. Genügen diese Nachweise im Einzelfall nachvollziehbar nicht, kann der Verantwortliche eine Kontrolle durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb zum Auftragsverarbeiter stehenden Prüfer durchführen lassen — nach vorheriger Ankündigung mit angemessener Frist (mindestens 14 Tage), zu üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal pro Kalenderjahr, sofern kein konkreter Anlass (z. B. ein Datenschutzvorfall) eine weitere Kontrolle rechtfertigt. Die Verarbeitung erfolgt vollständig in den Rechenzentren der in Anlage 3 genannten Unterauftragnehmer; ein Zutritt zu diesen Rechenzentren kann nicht gewährt werden, insoweit treten deren Prüfberichte an die Stelle einer Vor-Ort-Kontrolle.
4. Aufwände für Kontrollen ohne konkreten Anlass, die über Abs. 2 hinausgehen, kann der Auftragsverarbeiter angemessen in Rechnung stellen.

§ 8 Mitteilungspflichten des Verantwortlichen

1. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Auftragsverarbeitung feststellt.
2. Der Verantwortliche stellt sicher, dass in Freitextfelder der Software (z. B. Gäste-Notizen, Reservierungshinweise) nur Angaben eingetragen werden, die für den Zweck erforderlich sind. Werden dort besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Allergien oder andere Gesundheitsangaben) erfasst, trägt der Verantwortliche die Verantwortung für die Rechtsgrundlage dieser Verarbeitung.
3. Der Verantwortliche benennt im System eine aktuelle Kontakt-E-Mail-Adresse, über die er Mitteilungen nach diesem Vertrag (insbesondere nach § 5 und § 6) empfangen kann.

§ 9 Vergütung

Die Leistungen des Auftragsverarbeiters nach diesem Vertrag sind mit der Vergütung nach dem Hauptvertrag abgegolten. § 7 Abs. 4 bleibt unberührt.

§ 10 Löschung und Rückgabe nach Auftragsende

1. Während der Vertragslaufzeit kann der Verantwortliche seine Daten jederzeit selbst als strukturierte CSV-Dateien exportieren (Reservierungen, Gäste, Newsletter-Abonnenten einschließlich Einwilligungsnachweisen).
2. Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen zurück (Export nach Abs. 1) und löscht sie innerhalb von 90 Tagen, es sei denn, es besteht eine Aufbewahrungspflicht nach Unionsrecht oder dem Recht eines Mitgliedstaats. Die Aufbewahrung während dieser Frist dient ausschließlich der Möglichkeit des vollständigen Exports und einer etwaigen Wiederaufnahme des Hauptvertrags (in diesem Fall stehen die Daten unverändert wieder zur Verfügung); eine sonstige Verarbeitung findet in dieser Zeit nicht statt. Auf Wunsch des Verantwortlichen (Textform) erfolgt die Löschung jederzeit früher.
3. In Datensicherungen (Backups) enthaltene Kopien werden durch die rollierende Sicherungslogik automatisch überschrieben, spätestens 14 Tage nach der Löschung; eine Wiederherstellung nach der Löschung erfolgt nicht, außer soweit dies zur Abwehr eines Datenverlusts zwingend erforderlich ist — in diesem Fall werden die zu löschenden Daten erneut gelöscht.
4. Die Löschung wird dem Verantwortlichen auf Anforderung in Textform bestätigt.

§ 11 Haftung

Für die Haftung der Parteien gelten Art. 82 DSGVO sowie ergänzend die Regelungen des Hauptvertrags. Im Innenverhältnis stellen sich die Parteien von Ansprüchen frei, soweit die jeweils andere Partei den Schaden durch eine ihr zuzurechnende Verletzung dieses Vertrags oder der DSGVO verursacht hat.

§ 12 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dieser Vertrag wird in einem elektronischen Format geschlossen (Art. 28 Abs. 9 DSGVO).
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Datenschutzfragen die Regelungen dieses Vertrags vor.
3. Es gilt deutsches Recht. Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, Hamburg.
4. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.