Vertrag zur Auftragsverarbeitung

Auftraggeber

Der Imbissbetrieb, der Tamam nutzt (im Folgenden „der Laden"). Er ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Auftragnehmer

QUADRESS GmbH, Sophie-Opel-Str. 17, 44803 Bochum, vertreten durch den Geschäftsführer Daniel Simon. Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die der Auftragnehmer für den Laden im Rahmen des Betriebs von Tamam vornimmt: die Annahme und Abwicklung von Bestellungen über Telefon, WhatsApp, Telegram, die eigene Bestellseite des Ladens und angebundene Lieferplattformen sowie deren Anzeige auf Küchenscreen und Bon.

Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1. Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union statt, soweit nicht Abschnitt 6 etwas anderes vorsieht.

Dieser Vertrag gilt für die Dauer des Hauptvertrags über die Nutzung von Tamam – der Allgemeinen Geschäftsbedingungen – und endet mit ihm.

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Ladens, einschließlich der Übermittlung in Drittländer, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Laden die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Als Weisung gelten dieser Vertrag, der Hauptvertrag sowie die Einstellungen, die der Laden in der Anwendung selbst vornimmt – etwa welche Kanäle er aktiviert, welche Angaben der Assistent erfragt und ob er eine Treuekarte oder Werbenachrichten nutzt. Weitere Einzelweisungen bedürfen der Textform.

Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Laden unverzüglich darauf hin. Er ist berechtigt, die Ausführung dieser Weisung auszusetzen, bis sie bestätigt oder geändert wird.

Der Auftragnehmer verarbeitet die Daten nicht für eigene Zwecke. Insbesondere verwendet er sie nicht für eigene Werbung und nicht zum Training eigener KI-Modelle.

• –Vertraulichkeit. Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO), und macht sie mit den einschlägigen Vorgaben vertraut.
• –Sicherheit der Verarbeitung. Er trifft die Maßnahmen nach Art. 32 DSGVO; die getroffenen Maßnahmen sind in Anlage 2 beschrieben.
• –Unterstützung. Er unterstützt den Laden mit geeigneten Maßnahmen bei der Erfüllung von dessen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen und bei einer Datenschutz-Folgenabschätzung.
• –Berichtigung und Löschung. Er berichtigt, löscht oder schränkt Daten nur nach Weisung des Ladens ein, soweit keine gesetzliche Pflicht entgegensteht.
• –Kontaktstelle. Anfragen zum Datenschutz erreichen den Auftragnehmer unter info@quadress.de.

Der Auftragnehmer hat die in Anlage 2 beschriebenen Maßnahmen getroffen und hält sie während der Vertragslaufzeit aufrecht. Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Laden mit.

Der Laden erteilt hiermit die allgemeine Genehmigung, weitere Auftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 Satz 2 DSGVO). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und damit genehmigt.

Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Laden mindestens vier Wochen vorher in Textform mit. Der Laden kann innerhalb von zwei Wochen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Kommt keine Einigung zustande, steht dem Laden ein Sonderkündigungsrecht zum Zeitpunkt der geplanten Änderung zu.

Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, und bleibt dem Laden gegenüber für dessen Leistung verantwortlich.

Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, ohne dass diese bestimmungsgemäß auf die Daten des Ladens zugreifen, etwa Telekommunikationsleistungen oder Wartung.

Bestell- und Kundendaten werden auf Servern in Deutschland gespeichert. Ein Teil der in Anlage 3 genannten Unterauftragsverarbeiter hat seinen Sitz in den Vereinigten Staaten; dorthin werden Inhalte im erforderlichen Umfang übermittelt, insbesondere die laufende Unterhaltung an den Anbieter des Sprachmodells.

Grundlage sind die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden Maßnahmen oder – soweit der jeweilige Anbieter zertifiziert ist – der Angemessenheitsbeschluss zum EU-US Data Privacy Framework nach Art. 45 DSGVO. Der Auftragnehmer weist dem Laden die jeweilige Grundlage auf Verlangen nach.

Wenden sich betroffene Personen unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Laden weiter und beantwortet es nicht selbst.

Der Auftragnehmer unterstützt den Laden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Die dafür nötigen Funktionen stehen dem Laden in der Anwendung zur Verfügung; darüber hinausgehende Unterstützung erbringt der Auftragnehmer auf Anforderung.

Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten des Ladens bekannt, meldet er dies unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung in Textform an den Laden (Art. 33 Abs. 2 DSGVO).

Die Meldung enthält, soweit bekannt: die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Fehlende Angaben reicht der Auftragnehmer unverzüglich nach.

Die Meldung an die Aufsichtsbehörde und gegebenenfalls an betroffene Personen nimmt der Laden als Verantwortlicher vor.

Der Auftragnehmer stellt dem Laden alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

Der Nachweis kann durch aktuelle Bescheinigungen, Prüfberichte, Zertifizierungen oder eine Selbstauskunft zu den Maßnahmen aus Anlage 2 geführt werden. Reicht das nicht aus, kann der Laden nach Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten eine Prüfung vor Ort vornehmen oder durch einen zur Verschwiegenheit verpflichteten Dritten vornehmen lassen, der kein Wettbewerber des Auftragnehmers sein darf. Der Betrieb darf dabei nicht unangemessen beeinträchtigt werden.

Nach Beendigung der Verarbeitung löscht der Auftragnehmer nach Wahl des Ladens alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO).

Der Laden teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende mit. Trifft er keine Wahl, löscht der Auftragnehmer die Daten nach Ablauf dieser Frist. Ein Export der Bestell- und Kundendaten in einem gängigen Format steht dem Laden bis dahin zur Verfügung.

Sicherungskopien werden im Rahmen des regulären Sicherungszyklus gelöscht; bis dahin bleiben sie gegen Zugriff geschützt und werden nicht verarbeitet.

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Datenschutzfragen vor.

Zweck

Annahme, Bepreisung, Bestätigung und Abwicklung von Speisebestellungen sowie deren Weitergabe an Küchenscreen und Bondrucker; Wiedererkennung von Stammgästen; Schutz vor Scherzbestellungen; auf Wunsch des Ladens Treuekarte und Tischreservierung.

Art der Verarbeitung

Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln an den Laden und an vom Laden aktivierte Dienste, Löschen.

Betroffene Personen

Gäste des Ladens, die über einen der aktivierten Kanäle bestellen oder reservieren; Beschäftigte des Ladens, soweit sie die Anwendung nutzen oder im Schichtplan geführt werden.

Datenarten Gäste

Name oder Rufname; Telefonnummer (gespeichert als gesalzener Hash, im Klartext nur die letzten vier Ziffern); bei Lieferung die Lieferanschrift; Bestellinhalt mit Sonderwünschen; Zeitpunkt, Betrag, Zahlungsart und Zahlungsstatus; Textabschrift der Unterhaltung; Zahl der Bestellungen und Zeitpunkt der letzten Bestellung; Treuestempel; Einwilligung in Werbung, sofern erteilt.

Datenarten Beschäftigte

Name, Rolle, Kontaktdaten für die Anmeldung, Schichtzeiten sowie Einträge in den Hygiene-Nachweisen, soweit der Laden diese Funktionen nutzt.

Nicht verarbeitet

Tonaufnahmen von Telefonaten oder Sprachnachrichten werden zu keinem Zeitpunkt gespeichert. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht gezielt erhoben; teilt eine Person etwa eine Allergie mit, wird die Angabe nur als Zubereitungshinweis der Bestellung geführt.

Dauer

Für die Laufzeit des Hauptvertrags; danach nach Abschnitt 10. Rechnungen und Buchungsbelege des Ladens unterliegen dessen gesetzlichen Aufbewahrungsfristen.

Die folgenden Maßnahmen sind umgesetzt und werden im laufenden Betrieb überprüft.

Zutrittskontrolle

Betrieb in einem Rechenzentrum der Hetzner Online GmbH in Deutschland mit Zutrittskontrolle, Videoüberwachung und unterbrechungsfreier Stromversorgung. Eigene Hardware wird nicht betrieben.

Zugangskontrolle

Zugang zur Anwendung nur mit persönlichem Konto und Passwort. Passwörter werden mit scrypt und einem Zufallssalz je Konto gespeichert, niemals im Klartext. Sitzungen laufen nach zwölf Stunden ab. Der Serverzugang erfolgt ausschließlich über SSH mit Schlüsseln; Passwortanmeldung ist abgeschaltet.

Zugriffskontrolle

Rollen trennen Betreiber, Küche, Produzent und Verwaltung. Die Trennung der Läden ist zusätzlich in der Datenbank selbst verankert (Row Level Security, aktiviert und erzwungen); die Anwendung verbindet sich mit einer Rolle ohne Umgehungsrecht. Der Versuch eines Zugriffs über die Grenzen eines Ladens hinaus wird in der automatisierten Testsuite bei jeder Änderung geprüft.

Datenminimierung

Telefonnummern werden als SHA-256-Hash mit einem Schlüssel je Laden gespeichert; im Klartext bleiben nur die letzten vier Ziffern zur Wiedererkennung. Von E-Mail-Adressen bleibt nur die Domain lesbar. Tonaufnahmen werden nicht gespeichert.

Weitergabekontrolle

Sämtlicher Verkehr zwischen Browser und Server ist mit TLS verschlüsselt; die Zertifikate werden automatisch erneuert. Zugangsdaten zu Diensten Dritter liegen AES-256-GCM verschlüsselt in der Datenbank und sind für Anwendungskonten nicht lesbar.

Eingabekontrolle

Jede Statusänderung einer Bestellung läuft über einen einzigen, protokollierten Weg; unzulässige Übergänge werden abgewiesen. Eingehende Nachrichten externer Dienste werden mit einem Idempotenzschlüssel geführt, sodass Doppelzustellungen keine doppelten Vorgänge erzeugen.

Verfügbarkeit

Nächtliche Sicherung der Datenbank mit 14 Tagen Vorhaltung auf dem Server. Der Wiederherstellungsweg ist dokumentiert. Der Küchenscreen arbeitet bei Netzausfall weiter und reicht Eingaben nach.

Trennungskontrolle

Daten verschiedener Läden liegen in derselben Datenbank, sind aber über die genannte Zeilensicherheit getrennt. Produktions- und Entwicklungsumgebung sind getrennt; für Entwicklung und Tests werden ausschließlich erfundene Daten verwendet.

Belastbarkeit

Technische Fehler werden gemeldet und ausgewertet; personenbezogene Inhalte werden vor der Übermittlung aus den Meldungen entfernt.

Überprüfung

Die Maßnahmen werden bei jeder Änderung am System automatisiert geprüft (Tests zur Mandantentrennung, zur Zustandslogik und zur Preisberechnung) und bei Bedarf angepasst.

Welche dieser Dienste tatsächlich Daten verarbeiten, hängt davon ab, welche Kanäle und Funktionen der Laden aktiviert hat.

Hetzner Online GmbH

Betrieb von Servern und Datenbank. Deutschland. Immer.

Anthropic PBC

Sprachmodell für den Bestelldialog auf Textkanälen. Vereinigte Staaten.

OpenAI, L.L.C.

Sprachmodell für den Telefon-Assistenten sowie zum Auslesen fotografierter Speisekarten. Vereinigte Staaten.

Deepgram, Inc.

Umwandlung von Sprachnachrichten in Text. Vereinigte Staaten. Nur bei aktivierten Sprachnachrichten.

Meta Platforms Ireland Ltd.

Zustellung über die WhatsApp Business Platform. Irland und Vereinigte Staaten. Nur bei aktiviertem WhatsApp.

Telegram FZ-LLC

Zustellung über Telegram. Nur bei aktiviertem Telegram-Kanal.

Stripe Payments Europe, Ltd. / Mollie B.V.

Abwicklung von Online-Zahlungen. Irland bzw. Niederlande. Nur bei aktivierter Online-Zahlung. Vollständige Kartendaten erreichen die Systeme des Auftragnehmers nicht.

HubRise SAS

Anbindung der Lieferplattformen. Frankreich. Nur bei angebundenen Plattformen.

Resend, Inc.

Versand von E-Mails an den Laden. Vereinigte Staaten.

Functional Software, Inc. (Sentry)

Meldung technischer Fehler. Vereinigte Staaten. Nur bei aktivierter Fehlermeldung.

Zyte Group Ltd.

Abruf öffentlich zugänglicher Websites bei der Ersteinrichtung. Irland. Nur einmalig bei der Einrichtung.

Zum Unterschreiben: diese Seite über die Druckfunktion des Browsers als PDF sichern.