Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Gegenstand

Verantwortlicher ist das registrierte Restaurant („Auftraggeber“). Auftragsverarbeiter ist Benjamin Ries, Gastrechnung, Asternweg 8, 35578 Wetzlar, Benjamin.ries2311@gmail.com („Auftragnehmer“). Gegenstand ist die Verarbeitung personenbezogener Daten bei der Bereitstellung der Software Gastrechnung gemäß den AGB. Die Laufzeit entspricht der des Hauptvertrags.

2. Art, Zweck und Betroffene

• Zweck: Erfassung und Auslesen von Kassenbelegen, Erstellung, Archivierung und Bereitstellung von Rechnungsdokumenten.
• Datenarten: Namen, Firmen, Anschriften, E-Mail-Adressen, USt-IdNr./Steuernummern, Belegbilder und -inhalte, Rechnungsdaten, technische Zugriffsdaten.
• Betroffene: Gäste und Rechnungsempfänger des Auftraggebers, Mitarbeitende des Auftraggebers.

3. Weisungen

Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers; diese ergibt sich aus dem Vertrag und den Einstellungen in der Software. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.

4. Vertraulichkeit

Alle Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Strikte Mandantentrennung auf Datenbankebene (Zeilen-Zugriffsregeln je Restaurant)
• Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung beim Hoster
• Private Dateispeicher; Downloads nur über kurzlebige, signierte Links
• Rollenbasierte Berechtigungen (Inhaber, Admin, Mitarbeiter) und Protokollierung relevanter Vorgänge
• Gastzugänge nur über zufällige, nicht erratbare Codes; Schutz vor Missbrauch durch Ratenbegrenzung
• Datensicherung durch den Hosting-Anbieter

6. Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz folgender Unterauftragsverarbeiter:

• Lovable Labs Incorporated (Stockholm, Schweden) – Hosting, Datenbank, Speicher, KI-Schnittstelle
• Supabase Inc. (San Francisco, USA) – Datenbank, Anmeldung, Dateispeicher
• Cloudflare, Inc. (San Francisco, USA) – Auslieferung, Verschlüsselung, Angriffsschutz
• Google Ireland Ltd. (Dublin, Irland) bzw. weitere über das AI Gateway angebundene KI-Anbieter – Belegerkennung

Über neue oder geänderte Unterauftragsverarbeiter wird der Auftraggeber vorab informiert und kann aus wichtigem Grund widersprechen. Drittlandübermittlungen erfolgen nur auf Grundlage von Art. 44 ff. DSGVO (z. B. Data Privacy Framework, Standardvertragsklauseln).

7. Unterstützung und Meldepflichten

Der Auftragnehmer unterstützt den Auftraggeber bei Betroffenenanfragen (Art. 15–22 DSGVO) und bei Pflichten nach Art. 32–36 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.

8. Löschung und Rückgabe

Nach Vertragsende werden die Daten nach Wahl des Auftraggebers zurückgegeben (Export) oder gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

9. Kontrollrechte

Der Auftragnehmer stellt die zum Nachweis erforderlichen Informationen bereit und ermöglicht Überprüfungen nach vorheriger Anmeldung in angemessenem Umfang.