Auftragsverarbeitungsvertrag (AVV)

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist das Restaurant, das ein Konto auf DINEDESK nutzt. Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist JONAH SON, Inhaber Jonah Sonntag. Dieser AVV ist Bestandteil der AGB und gilt mit Abschluss des Nutzungsvertrags als vereinbart.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen: Entgegennahme, Verwaltung und Kommunikation von Tischreservierungen, Kalender- und Tischplanung, Versand von Bestätigungs-, Ablehnungs- und Erinnerungsnachrichten sowie Bereitstellung von Auswertungen für das Restaurant.

Die Verarbeitung erfolgt für die Laufzeit des Nutzungsvertrags. Nach Vertragsende werden die Daten gemäß Ziffer 9 gelöscht oder zurückgegeben.

Verarbeitet werden insbesondere:

• Stammdaten der Gäste: Vor- und Nachname, E-Mail-Adresse, Telefonnummer
• Reservierungsdaten: Datum, Uhrzeit, Personenzahl, Tisch/Bereich, Status, Referenzcode
• Freiwillige Angaben: Allergien und Ernährungshinweise (ggf. Daten nach Art. 9 DSGVO auf Grundlage der Einwilligung des Gastes), Kinderstuhl, besondere Wünsche, Anmerkungen
• Nutzerdaten des Restaurants: Name, E-Mail, Rolle, Anmelde- und Protokolldaten
• Mitarbeiterdaten: Name, Kontaktdaten, Verfügbarkeiten, Schichten, Abwesenheiten

Betroffene Personengruppen sind Gäste des Restaurants, Mitarbeitende sowie Nutzerinnen und Nutzer des Restaurantkontos.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten die Nutzung der Plattformfunktionen sowie Einstellungen im Konto. Weisungen in Textform sind an info@jonahson.de zu richten. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Verantwortlichen darauf hin.

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorgaben vertraut sind (Art. 28 Abs. 3 lit. b DSGVO).

• Transportverschlüsselung (TLS) für sämtliche Verbindungen
• Verschlüsselung der Daten im Ruhezustand beim Datenbankanbieter
• Mandantentrennung: strikte Trennung der Restaurantdaten über Zugriffsregeln auf Datenbankebene (Row Level Security); ein Restaurant kann keine Daten anderer Restaurants abrufen
• Rollen- und Rechtekonzept (Inhaber, Manager, Mitarbeitende) mit minimalen Rechten
• Authentifizierung über gehashte Passwörter bzw. OAuth, Sitzungsverwaltung mit Ablauf
• Protokollierung sicherheitsrelevanter administrativer Vorgänge
• Regelmäßige Backups durch den Datenbankanbieter, Wiederherstellbarkeit im Störfall
• Zugriff auf Produktivsysteme nur für berechtigte Personen des Anbieters

Die Maßnahmen unterliegen der technischen Weiterentwicklung; ein gleichwertiges Schutzniveau bleibt gewahrt.

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter:

• Hosting und Auslieferung der Anwendung – Betrieb der Web-Anwendung und Bereitstellung über ein Content-Delivery-Netzwerk (EU/USA, EU-Standardvertragsklauseln)
• Datenbank-, Auth- und Speicherdienst (Supabase) – Speicherung der Anwendungsdaten, Benutzerkonten und Dateien, Serverstandort EU
• Resend – Versand von Transaktions-E-Mails an Gäste und Restaurants
• Zahlungsdienstleister – Abwicklung kostenpflichtiger Tarife; die Zahlungs- und Kartendaten werden ausschließlich dort verarbeitet

Änderungen oder Ergänzungen werden dem Verantwortlichen mit einer Frist von 14 Tagen in Textform mitgeteilt. Der Verantwortliche kann aus wichtigem Grund widersprechen; in diesem Fall steht beiden Parteien ein Sonderkündigungsrecht zu. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

Nach Beendigung des Nutzungsvertrags werden die verarbeiteten Daten nach einer Übergangsfrist von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. Innerhalb dieser Frist kann der Verantwortliche seine Daten exportieren.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Betroffenenanfragen (Art. 12–23 DSGVO), Datenschutz-Folgenabschätzungen sowie bei Meldepflichten nach Art. 33, 34 DSGVO und informiert unverzüglich über bekannt gewordene Datenschutzverletzungen.

Der Verantwortliche kann die Einhaltung dieser Vereinbarung überprüfen. Nachweise erfolgen vorrangig durch Auskunft und Dokumentation; Vor-Ort-Kontrollen sind nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten möglich.

Bei Widersprüchen zwischen diesem AVV und den AGB gehen die Regelungen dieses AVV in Bezug auf den Datenschutz vor. Es gilt deutsches Recht.