Vertrag zur Auftragsverarbeitung

Dieser Vertrag wird geschlossen zwischen dem im Nutzungsvertrag mit vollständigem Namen bzw. Firma und Anschrift bezeichneten Betrieb als Verantwortlichem („Auftraggeber“) und Patrick Schuppan, Fährstraße 217, 40221 Düsseldorf, Einzelunternehmen, handelnd unter der Bezeichnung „TresenFix – ein Projekt von PTiQ“, als Auftragsverarbeiter („Auftragnehmer“).

1. Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um TresenFix bereitzustellen: Online-Shop und Vorbestellung, Abholung und Lieferung, Kundenkonten, Treuekarte (auch in Apple Wallet und Google Wallet), Feedback, Check-in bei Ankunft, Gutschein- und Feedback-Mails, Newsletter des Auftraggebers an seine Gäste, Wallet-Nachrichten, technische Verwaltung von Geschenkgutscheinen, Auswertungen und Export (auch im DATEV-Format, ohne Gästenamen) sowie Betrieb der TresenFix-Box (Bondruck, Abholcodes, Abholanzeige, Prüfprotokoll, Diagnose). Der Vertrag gilt während des Nutzungsvertrags und darüber hinaus, solange der Auftragnehmer personenbezogene Daten im Auftrag verarbeitet, insbesondere während eines Übergangs- oder Abrufzeitraums und bis zur vollständigen Rückgabe bzw. Löschung einschließlich verbleibender Sicherungskopien.

Eigene Zwecke: Soweit der Auftragnehmer für eigene Zwecke über eine Verarbeitung entscheidet, handelt er in eigener Verantwortung und nicht nach diesem Vertrag. Das betrifft seine Vertrags- und Rechnungsunterlagen, die Sicherheit und Stabilität seiner Systeme (technische Betriebsdaten der Boxen wie Softwarestand, Temperatur, Netz- und Verbindungsdaten, ohne Gästedaten) und die Prüfung seiner eigenen Provisionsansprüche. Diagnoseberichte, Bons und sonstige Gästedaten auf den Boxen verarbeitet er weiterhin im Auftrag. Für die Provisionsprüfung verwendet er nur die dafür erforderlichen Bestell- und Abwicklungsdaten (Bestellkennung, Abholnummer, Zeitpunkte, Status, Betrag, Zahlart sowie die Einträge des Prüfprotokolls), keine Namen, Kontaktdaten oder Küchenhinweise der Gäste; Rechtsgrundlage ist sein berechtigtes Interesse an einer richtigen Abrechnung (Art. 6 Abs. 1 lit. f DSGVO); Erforderlichkeit und Interessenabwägung dokumentiert er. Darüber hinaus verwendet er Auftragsdaten nicht für eigene Zwecke.

2. Art der Daten, Art der Verarbeitung und betroffene Personen

Art der Verarbeitung: Erheben, Erfassen, Speichern, Auslesen, Bereitstellen, Übermitteln, Auswerten, Berichtigen, Einschränken und Löschen, jeweils zur Durchführung der gebuchten Funktionen.

Gäste und Kunden des Auftraggebers: Name, E-Mail-Adresse, Telefonnummer und Lieferanschrift (soweit angegeben), Bestellungen mit Artikeln, Beträgen und Zeiten, Hinweise an die Küche, Zahlart und Zahlungsstatus, Kundenkonto, Stempel, Prämien und Kaufverlauf (an der Theke auch angetippte Leistungen sowie Betrag, Kassen- und Belegnummer gescannter Kassenbons), Einwilligungen (Neuigkeiten per E-Mail und Wallet, Feedback-Mails) und Abmeldungen, freiwillig angegebener Geburtstag (Tag und Monat) und Empfehlungen (wer wen eingeladen hat), versandte Gutscheine und automatische Grüße, Zeitpunkt des Check-ins (beim automatischen Check-in sendet das Gerät des Gasts seine Koordinaten nur innerhalb des Umkreises an den Server; dort werden sie geprüft und nicht gespeichert), Bewertungen und Kommentare, technische Kennungen der Wallet-Karte (Seriennummer, Geräte- und Push-Kennung); auf der TresenFix-Box: Bons mit Bestelldaten bis zum Druck, Abholcodes, Prüfprotokoll (Zeitpunkte von Bondruck, Scans und Verbindungsaussetzern; bei Abholungen ohne Internet Abholnummer, Bestellkennung, Betrag und Zahlstatus; ohne Namen und E-Mail-Adressen) und Bildschirmfotos der Anzeige in Diagnoseberichten (zeigen nur Abholnummern). Beschäftigte des Auftraggebers: Anmeldungen an den Zugängen (Sitzungsdaten), Namen und PIN-Prüfwerte für die Mitarbeiter-PIN, Zuordnung von Stempeln und Prämien zu Mitarbeitern.

Gesundheitsangaben: Hinweise an die Küche können im Einzelfall Gesundheitsangaben enthalten (zum Beispiel eine Allergie). Lässt der Auftraggeber solche Angaben verarbeiten, sorgt er für die erforderliche Rechtsgrundlage einschließlich einer Ausnahme nach Art. 9 Abs. 2 DSGVO. Die Angaben werden nur für die konkrete Bestellung verwendet, nicht für Marketing, und 30 Tage nach dem Abhol- bzw. Liefertag automatisch gelöscht (Ziffer 8a).

3. Weisungen und Pflichten des Auftraggebers

Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer oder an internationale Organisationen. Die Weisungen ergeben sich aus diesem Vertrag, dem gebuchten Leistungsumfang und den Einstellungen des Auftraggebers in TresenFix (zum Beispiel Ein- und Ausschalten von Feedback-Mails, Gutschein-Mails, Wallet-Nachrichten); weitere Weisungen erteilt er in Textform an hello@tresenfix.de oder über die dafür vorgesehenen Funktionen. Ist der Auftragnehmer nach dem Recht der EU oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dies vorher mit, soweit das Recht dies nicht verbietet. Hält er eine Weisung für datenschutzwidrig, informiert er den Auftraggeber unverzüglich und darf die betroffene Verarbeitung bis zur Klärung im erforderlichen Umfang aussetzen; rechtswidrige Weisungen führt er nicht aus.

Der Auftraggeber ist für die Rechtmäßigkeit seiner Verarbeitungszwecke und Weisungen sowie für die erforderlichen Rechtsgrundlagen, Informationen und Einwilligungen verantwortlich. Er hält eine erreichbare Kontaktadresse für Datenschutzfragen im Betreiberbereich aktuell und vergibt Zugänge nur an berechtigte Personen.

4. Vertraulichkeit

Personen, die Zugang zu den Daten haben, werden vor ihrem Zugriff zur Vertraulichkeit verpflichtet, soweit sie nicht gesetzlich dazu verpflichtet sind; die Pflicht gilt über das Ende ihrer Tätigkeit hinaus.

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (HTTPS) für alle Seiten und Schnittstellen.
• Getrennte Datenbereiche je Betrieb; Zugriff nur mit Anmeldung, getrennte Rechte für Laden und Inhaber, optional Mitarbeiter-PIN mit Protokoll.
• Passwörter und PINs nur als gesalzene Prüfwerte nach dem Stand der Technik (derzeit scrypt); Bremse gegen Passwortraten.
• Verwaltungszugang des Auftragnehmers nur mit Passwort und zweitem Faktor (Einmalcode), Rechte nach Rollen, erneute Bestätigung vor dem Öffnen eines Betreiberbereichs; Protokoll aller Verwaltungsaktionen.
• Abholanzeige zeigt nur Nummern, keine Namen. Datenexport ohne Passwörter und Zugangsdaten.
• Hosting in Rechenzentren in der EU mit Zutritts- und Zugriffsschutz; tägliche Datensicherung, Aufbewahrung 14 Tage, zusätzlich verschlüsselte Sicherung bei einem zweiten Anbieter in Deutschland.
• TresenFix-Box: keine offenen Zugänge aus dem Internet, verschlüsselte Verbindung zum Server, nur signierte Software, Prüfprotokoll verschlüsselt (nur der Auftragnehmer kann es lesen), Fernwartung nur nach Freigabe durch den Auftraggeber und befristet, Sperrung verlorener Boxen aus der Ferne.
• Löschung von Kundenkonten auf Wunsch des Auftraggebers oder des Gasts; Löschung der Gästedaten nach Vertragsende.

Der Auftragnehmer überprüft und dokumentiert die Angemessenheit und Wirksamkeit der Maßnahmen regelmäßig, einschließlich Proben der Wiederherstellung aus Sicherungen. Er darf Maßnahmen weiterentwickeln oder durch mindestens gleichwertige ersetzen; wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber mit.

6. Unterauftragsverarbeiter und andere Empfänger

Der Auftraggeber genehmigt den Einsatz folgender Unterauftragsverarbeiter für die genannten Tätigkeiten:

• Hostinger International Ltd., Zypern: Hosting der Anwendung und E-Mail-Versand (Rechenzentrum in der EU).
• Hetzner Online GmbH, Deutschland: verschlüsselte externe Datensicherung (Rechenzentrum in Falkenstein, Deutschland); Hetzner kann die Daten mangels Schlüssel nicht lesen.
• Nur wenn der Auftraggeber die Fernwartung einer TresenFix-Box freigibt: Tailscale US Inc., USA, für den Aufbau der Fernwartungsverbindung. Der Fernwartungsdienst auf der Box startet erst mit der Freigabe, meldet sich bei Tailscale an und mit Ablauf der Freigabe wieder ab; vorher werden keine Daten an Tailscale übermittelt. Die Inhalte sind Ende-zu-Ende verschlüsselt; verarbeitet werden Verbindungsdaten (Gerätekennung, IP-Adresse, Zeitpunkte), gegebenenfalls auch in den USA auf Grundlage der Garantien nach Ziffer 6a.

Keine Unterauftragsverarbeiter des Auftragnehmers sind Dienste, die der Auftraggeber selbst beauftragt, insbesondere Stripe für die Online-Zahlungen über das eigene Stripe-Konto des Auftraggebers, sowie Anbieter, die gegenüber dem Gast in eigener Verantwortung handeln: Speichert ein Gast seine Treuekarte freiwillig in Apple Wallet oder Google Wallet, verarbeiten Apple und Google die Karte für ihren Wallet-Dienst in eigener Verantwortung. Für die Aktualisierung gilt: Bei Apple Wallet sendet der Auftragnehmer über den Apple Push Notification Service nur eine Benachrichtigung ohne Inhalt an die Push-Kennung des Geräts; das Gerät ruft die aktualisierte Karte (Name des Betriebs, Name des Gasts, Stempelstand, QR-Code) anschließend direkt beim Server des Auftragnehmers ab. Bei Google Wallet übermittelt der Auftragnehmer die Karte (Name des Betriebs, Name des Gasts, Stempelstand, QR-Code, Regeln und gegebenenfalls Neuigkeiten des Betriebs) an die Google Wallet API. Dabei können Daten in die USA gelangen (Garantien nach Ziffer 6a).

Weitere Unterauftragsverarbeiter: Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die für dessen Tätigkeit maßgeblichen Pflichten dieses Vertrags und des Art. 28 DSGVO, prüft dessen hinreichende Garantien und bleibt dem Auftraggeber für deren Erfüllung verantwortlich. Über beabsichtigte Hinzuziehungen oder Ersetzungen informiert er rechtzeitig vor Beginn der Verarbeitung in Textform unter Angabe von Rechtsträger, Tätigkeit, Verarbeitungsorten und gegebenenfalls Übermittlungsgrundlage. Der Auftraggeber kann innerhalb von 14 Kalendertagen nach Zugang aus nachvollziehbaren datenschutzrechtlichen Gründen widersprechen; der Einsatz beginnt nicht vor Ablauf dieser Frist, es sei denn, der Auftraggeber stimmt vorher zu. Einen fristgerechten Widerspruch klären die Parteien vor dem Einsatz und suchen eine rechtmäßige Alternative. Ist sie mit angemessenem Aufwand nicht möglich, kann jede Partei den untrennbar betroffenen Leistungsteil mit angemessener Abwicklung vor dem Einsatz beenden; Vorauszahlungen für nicht mehr erbrachte Leistungen werden erstattet.

6a. Übermittlungen in Drittländer

Verarbeitungen außerhalb des Europäischen Wirtschaftsraums, einschließlich Fernzugriffen, erfolgen nur im Rahmen dokumentierter Weisungen und unter Einhaltung der Art. 44 ff. DSGVO. Der Auftragnehmer dokumentiert Empfänger, Staaten und Übermittlungsgrundlage. Ein Angemessenheitsbeschluss (zum Beispiel das EU-US Data Privacy Framework) wird nur genutzt, soweit er den konkreten Empfänger erfasst; sonst werden geeignete Garantien, insbesondere Standardvertragsklauseln, mit den erforderlichen Prüfungen und ergänzenden Maßnahmen eingesetzt. Entfällt eine Grundlage, wird die betroffene Übermittlung ausgesetzt, bis eine zulässige Grundlage besteht.

7. Unterstützung und Datenschutzverletzungen

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Export). Unmittelbar an ihn gerichtete Anfragen leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie nur auf dessen Weisung oder aufgrund eigener gesetzlicher Pflicht. Die vorgesehenen Selbstbedienungsfunktionen (zum Beispiel Löschen des Kundenkontos durch den Gast oder Betrieb, Abmelden von Neuigkeiten) gelten als allgemeine Weisung; vor ihrer Ausführung wird die Berechtigung angemessen geprüft.

Er unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei dessen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere mit Informationen zur Sicherheit, zur Aufklärung und Behandlung von Datenschutzverletzungen, für Datenschutz-Folgenabschätzungen und für eine gegebenenfalls erforderliche vorherige Konsultation der Aufsichtsbehörde. Rechtliche Bewertungen, Entscheidungen und Meldungen bleiben Sache des Auftraggebers; eine Rechtsberatung ist nicht vereinbart.

Verletzungen des Schutzes personenbezogener Daten aus dieser Auftragsverarbeitung meldet der Auftragnehmer unverzüglich nach Bekanntwerden, spätestens innerhalb von 48 Stunden, an die im Betreiberbereich hinterlegte Kontaktadresse, ersatzweise an die E-Mail-Adresse des Inhaberzugangs. Die Höchstfrist berechtigt nicht zum Aufschub einer früher möglichen Meldung. Die Erstmeldung enthält die verfügbaren Angaben zu Art und Umfang, betroffenen Daten und Personen, möglichen Folgen, ergriffenen Maßnahmen und einem Ansprechpartner; fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht.

8. Rückgabe und Löschung

Der Auftraggeber kann seine Daten jederzeit mit den Exportfunktionen im Betreiberbereich herunterladen. Für einen Anbieterwechsel und die anschließende Abrufmöglichkeit gelten die Übergangs- und Abruffristen nach Ziffer 10a der Nutzungsbedingungen bzw. nach dem Gesetz; eine Löschung allein wegen des Vertragsendes erfolgt nicht vor deren Ablauf, sonst 30 Tage nach Vertragsende. Frühere Löschweisungen des Auftraggebers bleiben möglich.

Nach Abschluss der Leistungen gibt der Auftragnehmer die im Auftrag verarbeiteten Daten nach Wahl des Auftraggebers zurück (Export) oder löscht sie und löscht danach auch verbleibende Kopien, soweit nicht eine gesetzliche Pflicht zur Speicherung besteht. Der Auftraggeber kann seine Wahl bis dahin in Textform treffen oder ändern; ohne Wahl werden die Daten nach Ablauf der Abruffrist gelöscht. Die Löschung bestätigt der Auftragnehmer auf Anfrage. Seine eigenen Rechnungsunterlagen bewahrt er nach den für ihn geltenden Fristen auf; eine Archivierung der Verkaufsbelege oder Buchführungsunterlagen des Auftraggebers über das Vertragsende hinaus übernimmt er nicht, der Auftraggeber sichert sie vorher selbst.

Sicherungskopien werden geschützt aufbewahrt und im Sicherungszyklus gelöscht: gelöschte Daten spätestens nach 14 Tagen beim Hosting und 30 Tagen in der externen Sicherung. Wird aus einer Sicherung wiederhergestellt, werden zwischenzeitliche Löschungen und Einschränkungen vor einer erneuten Nutzung umgesetzt. Zurückgesandte TresenFix-Karten werden nur im erforderlichen Umfang ausgelesen und danach vollständig gelöscht.

8a. Speicherdauer

• Daten des Auftraggebers und seiner Gäste: für die Vertragsdauer und bis zur Löschung nach Ziffer 8; Kundenkonten löscht der Auftraggeber jederzeit selbst oder auf Wunsch des Gasts.
• Hinweise an die Küche (Freitext in Bestellungen und Positionen): 30 Tage nach dem Abhol- bzw. Liefertag; ist eine längere Aufbewahrung für einen konkreten Streitfall nötig, wird sie begründet, befristet und im Zugriff beschränkt.
• Kontaktdaten in Bestellungen: bis zur Löschung nach Ziffer 8 oder früherer Löschung des Kundenkontos; die Beträge und Artikel der Bestellungen bleiben davon getrennt erhalten.
• Marketing nach Abbestellung des Marketing-Pakets: Treuekarten- und Kundendaten bleiben für die weiter gebuchten Grundfunktionen erhalten. Einwilligungen, Widerrufe und Werbewidersprüche werden zweckgebunden aufbewahrt und gelten auch bei einer erneuten Buchung fort. Versandnachweise automatischer Grüße bleiben gespeichert, solange sie einen doppelten Versand verhindern, längstens bis zur Löschung nach Ziffer 8; der Auftraggeber kann Kunden und Gruppen jederzeit löschen.
• Bons in der TresenFix-Box: bis zum erfolgreichen Druck, längstens zwei Stunden für automatische Wiederholungen.
• Verbindungs- und Netzdaten der Boxen: 30 Tage. Ereignisverlauf der Boxen: 90 Tage. Diagnoseberichte mit Bildschirmfoto: höchstens die letzten fünf je Box und längstens 30 Tage.
• Prüfprotokoll der Boxen: 13 Monate ab Eingang als vom Auftragnehmer festgelegte Höchstfrist (Abgleich der Monatsabrechnungen samt Prüf- und Widerspruchsfristen), längstens bis zur Löschung nach Ziffer 8.
• Geschenkgutscheine: Codes, Beträge und Einlösungen bis zur Löschung nach Ziffer 8, damit der Auftraggeber offene Gutscheine einlösen und exportieren kann; Namen und E-Mail-Adressen von Käufern und Empfängern werden spätestens dann entfernt.
• Datensicherungen: 14 Tage beim Hosting, 30 Tage in der externen verschlüsselten Sicherung.

9. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO und dieses Vertrags erforderlich sind. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten fachkundigen, zur Vertraulichkeit verpflichteten Prüfer und wirkt daran mit. Soweit der Prüfzweck damit erreicht wird, werden zunächst vorhandene Nachweise, Dokumentationen und Fernprüfungen genutzt; weitergehende Prüfungen bleiben möglich. Prüfungen erfolgen mit angemessener Vorankündigung während üblicher Geschäftszeiten und ohne unnötige Störung des Betriebs; bei konkreten Anhaltspunkten für Verstöße oder auf Anforderung einer Behörde auch kurzfristig. Geschäftsgeheimnisse und Daten anderer Auftraggeber werden geschützt. Befugnisse der Aufsichtsbehörden bleiben unberührt.

Aufwand: Für individuelle Unterstützung oder die Begleitung von Prüfungen, die über die Standardfunktionen und vorhandenen Nachweise hinausgehen, können die Parteien vorab eine angemessene Vergütung vereinbaren; der Auftragnehmer nennt den voraussichtlichen Aufwand. Die Vergütung darf gesetzliche Rechte nicht unangemessen erschweren. Unterstützung wegen eigener Pflichtverletzungen des Auftragnehmers wird nicht berechnet, und gesetzlich geschuldete Auskünfte, Kontrollen und dringliche Unterstützung werden nicht von einer Vergütung abhängig gemacht.

10. Abschluss, Vorrang und Haftung

Dieser Vertrag wird mit der Anmeldung zu TresenFix elektronisch geschlossen. Die angenommene Fassung wird mit dem Annahmezeitpunkt dem Auftraggeber zugeordnet, im Protokoll des Auftragnehmers festgehalten und steht unter tresenfix.de/avv.html in speicherbarer Form bereit; auf Anfrage erhält der Auftraggeber die bei ihm geltende Fassung als Datei. In Fragen der Auftragsverarbeitung geht dieser Vertrag den Nutzungsbedingungen vor. Für vertragliche Schadensersatzansprüche zwischen den Parteien gelten die Haftungsregeln der Nutzungsbedingungen, soweit zwingendes Datenschutzrecht nicht entgegensteht; Ansprüche betroffener Personen nach Art. 82 DSGVO, der Ausgleich nach Art. 82 Abs. 5 DSGVO und die Befugnisse der Aufsichtsbehörden bleiben unberührt.