Auftragsverarbeitungsvertrag (AVV)

1. Parteien

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist das Restaurant, das ein Konto bei der Cloud Order-Plattform eröffnet („Verantwortlicher"). Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:

[Firmenname], [Anschrift], vertreten durch [Vertretungsberechtigte Person]. Handelsregister: [Handelsregister/Nr.]. USt-IdNr.: [USt-IdNr.]. Kontakt: [Kontakt-E-Mail].

2. Gegenstand und Dauer der Verarbeitung

Gegenstand ist die Bereitstellung der Cloud Order-Software zur Verwaltung von Bestellungen, Speisekarten, Tischen und Endkundendaten. Die Verarbeitung erfolgt für die Dauer des Hauptvertrages (Nutzung der Plattform) und endet mit dessen Beendigung.

3. Art, Umfang und Zweck der Verarbeitung

Verarbeitet werden Bestell-, Kontakt-, Liefer- und Zahlungsdaten von Endkunden des Verantwortlichen zum Zweck der Bestellabwicklung, Kommunikation, Zahlungsanbahnung und der Erfüllung gesetzlicher Nachweispflichten. Die Verarbeitung erfolgt ausschließlich auf Weisung des Verantwortlichen.

4. Kategorien betroffener Personen und Datenarten

• Endkunden des Restaurants: Name, Anschrift, Telefonnummer, E-Mail, Bestellhistorie, Zahlungsstatus, Bestellnotizen.
• Mitarbeitende des Restaurants: Name, E-Mail, Rolle.

5. Weisungsbindung und Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen.
• Vertraulichkeit aller mit der Verarbeitung befassten Personen.
• Umsetzung angemessener technischer und organisatorischer Maßnahmen (TOM) nach Art. 32 DSGVO.
• Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23), bei Meldepflichten (Art. 33/34) und Datenschutz-Folgenabschätzungen (Art. 35/36).
• Unverzügliche Meldung von Datenschutzverletzungen an den Verantwortlichen.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Supabase / Lovable Cloud – Hosting und Datenbank. [Serverstandort: EU – bitte bestätigen].
• Google (Google Ireland Ltd.) – OAuth-Anmeldung für Kontoerstellung. [Serverstandort: EU – bitte bestätigen].
• Stripe (Stripe Payments Europe Ltd.) – Zahlungsabwicklung. [Serverstandort: EU – bitte bestätigen].

Wechsel oder Ergänzungen der Unterauftragsverarbeiter werden mit einer Frist von 30 Tagen im Voraus in Textform mitgeteilt. Der Verantwortliche kann diesen aus wichtigem datenschutzrechtlichen Grund widersprechen.

7. Kontroll- und Auditrechte

Der Verantwortliche kann jederzeit Auskunft über die verarbeiteten Daten verlangen und die Einhaltung dieses Vertrages überprüfen, insbesondere durch Einsicht in geeignete Nachweise (z. B. Zertifikate, aktuelle TOM). Vor-Ort-Kontrollen sind mit angemessener Vorankündigung möglich.

8. Löschung und Rückgabe

Nach Beendigung des Hauptvertrages werden alle personenbezogenen Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

9. Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und den Regelungen des Hauptvertrages.

10. Zustandekommen

Dieser AVV kommt mit der Bestätigung im Registrierungsformular in Textform zwischen den Parteien zustande und wird digital nachweisbar dokumentiert.