Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Allgemeinen Geschäftsbedingungen zwischen Ihnen („Verantwortlicher“) und der ZAHA Global GmbH („Auftragsverarbeiter“) für den Dienst RestroManage. Er setzt die Pflichtanforderungen des Art. 28 DSGVO um.
1. Parteien
Verantwortlicher: der Kunde, der RestroManage nutzt und über Zwecke und Mittel der Verarbeitung personenbezogener Daten im Dienst entscheidet.
Auftragsverarbeiter: ZAHA Global GmbH, Adolfstraße 32, 52134 Herzogenrath, Deutschland. Registergericht: Amtsgericht Aachen, HRB 27903. Kontakt: support@restromanage.com.
2. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zur Bereitstellung, zum Betrieb, zur Unterstützung und Absicherung der RestroManage-Software als Service, wie im Hauptvertrag und in unserer Datenschutzerklärung beschrieben.
Die Verarbeitung dauert für die Laufzeit des Hauptvertrags und für gesetzlich vorgeschriebene Aufbewahrungsfristen nach Vertragsende; danach werden die Daten gemäß Abschnitt 11 gelöscht oder zurückgegeben.
3. Art und Zweck der Verarbeitung
Zur Verarbeitung gehören Erhebung, Speicherung, Organisation, Abruf, Übermittlung, Einschränkung und Löschung personenbezogener Daten, soweit dies für die Betriebsfunktionen nötig ist (Bestellungen, Speisekarten, Tische, Zahlungen, Auswertungen, Mitarbeiterkonten und zugehöriger Support).
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen — einschließlich dieses AVV und der Konfiguration im Produkt — es sei denn, Unionsrecht oder das Recht der Mitgliedstaaten verlangt etwas anderes.
4. Arten von Daten und Betroffene
Kategorien betroffener Personen können Mitarbeiter und Auftragnehmer des Verantwortlichen sowie Endkunden der Betriebe des Verantwortlichen umfassen.
Arten personenbezogener Daten können Namen, Kontaktdaten, Bestell- und Reservierungsdaten, zahlungsbezogene Metadaten (keine vollständigen Kartendaten, sofern ein PCI-konformer Anbieter diese verarbeitet), Geräte- und Nutzungsprotokolle für Sicherheit und Support sowie weitere Daten umfassen, die der Verantwortliche in den Dienst eingibt.
5. Pflichten des Auftragsverarbeiters
- Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten
- Sicherstellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind
- Geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO umsetzen
- Unterauftragsverarbeiter nur gemäß Abschnitt 7 einsetzen
- Den Verantwortlichen bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Aufsichtsbehördenanfragen unterstützen, soweit die Art der Verarbeitung dies erfordert
- Personenbezogene Daten nach Ende der Verarbeitung löschen oder zurückgeben, wie in Abschnitt 11 geregelt
- Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, und Prüfungen gemäß Abschnitt 12 ermöglichen
6. Pflichten des Verantwortlichen
Der Verantwortliche gewährleistet, dass für die von ihm angewiesene Verarbeitung eine Rechtsgrundlage besteht, dass Informationen an Betroffene zutreffend sind und dass Weisungen an den Auftragsverarbeiter rechtmäßig sind. Für die Richtigkeit der in den Dienst eingegebenen Daten bleibt der Verantwortliche verantwortlich.
7. Unterauftragsverarbeiter
Der Verantwortliche genehmigt dem Auftragsverarbeiter allgemein, Unterauftragsverarbeiter einzusetzen, die Infrastruktur-, Kommunikations- oder Supportleistungen für den Betrieb von RestroManage erbringen. Aktuelle Kategorien umfassen Hosting (Contabo GmbH in Deutschland), Zahlungsabwicklung, transaktionale E-Mail und Push-Benachrichtigungen — aufgeführt in der Datenschutzerklärung.
Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die denen dieses AVV gleichwertig sind. Gegenüber dem Verantwortlichen bleibt der Auftragsverarbeiter für die Leistung des Unterauftragsverarbeiters verantwortlich.
Der Auftragsverarbeiter unterrichtet den Verantwortlichen über beabsichtigte Änderungen bei Unterauftragsverarbeitern so rechtzeitig, dass der Verantwortliche aus berechtigten datenschutzrechtlichen Gründen vor Wirksamwerden widersprechen kann.
8. Sicherheitsmaßnahmen
Der Auftragsverarbeiter unterhält dem Risiko angemessene technische und organisatorische Maßnahmen, einschließlich Verschlüsselung bei der Übertragung, Zugriffskontrollen, Least-Privilege-Administration, Protokollierung, Backups und Vertraulichkeitspflichten für Mitarbeitende. Die Maßnahmen werden mit Bedrohungslage und Dienst weiterentwickelt.
9. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, nachdem er von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die Daten des Verantwortlichen betrifft, und stellt die Informationen bereit, die der Verantwortliche vernünftigerweise zur Erfüllung seiner Pflichten nach Art. 33 / 34 DSGVO benötigt.
10. Unterstützung bei Betroffenenrechten
Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht nachzukommen, Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der betroffenen Person nachzukommen.
11. Rückgabe und Löschung
Nach Wahl des Verantwortlichen löscht der Auftragsverarbeiter nach Ende der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht das Unionsrecht oder das Recht der Mitgliedstaaten eine Speicherung verlangt.
12. Prüfungen und Informationen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, und ermöglicht sowie unterstützt Prüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen von diesem beauftragten Prüfer, vorbehaltlich angemessener Ankündigung, Vertraulichkeit und betrieblicher Schutzmaßnahmen.
13. Internationale Übermittlungen
Produkt- und Kundendaten für den Dienst RestroManage werden auf Servern in Deutschland gespeichert. Ist eine Übermittlung außerhalb des EWR erforderlich (etwa an einen Unterauftragsverarbeiter), stellt der Auftragsverarbeiter ein angemessenes Schutzniveau über einen Angemessenheitsbeschluss, Standardvertragsklauseln oder einen anderen gültigen Mechanismus nach Art. 46 DSGVO sicher.
14. Haftung
Die Haftung unter diesem AVV folgt den Haftungsregelungen der Allgemeinen Geschäftsbedingungen, ohne Haftung einzuschränken, die gesetzlich nicht beschränkt werden darf.
15. Schlussbestimmungen
Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag in datenschutzrechtlichen Fragen geht dieser AVV vor. Es gilt deutsches Recht. Gerichtsstand ist Aachen, Deutschland, soweit gesetzlich zulässig.
Fragen zu diesem AVV: support@restromanage.com.