Vereinbarung zur Auftragsverarbeitung
Vertragsvorlage für die weisungsgebundene Verarbeitung durch Zackisch nach Artikel 28 DSGVO. Die Anlagen konkretisieren den jeweiligen Auftrag und müssen mit den tatsächlichen Betriebs- und Dienstleisterangaben ausgefüllt werden.
1. Parteien und Gegenstand
Auftraggeber ist [vollständiger Name/Firma des Restaurants, Anschrift, Vertretung, Datenschutzkontakt]. Auftragnehmer ist Selim Eser, handelnd unter Zackisch, Musterstraße 1, 12345 Musterstadt, Deutschland; Datenschutzkontakt: selim@zackisch.com. Diese Vereinbarung ergänzt den Betreibervertrag für die Verarbeitung personenbezogener Daten ausschließlich im Auftrag des Restaurants. Eigene Zwecke von Zackisch, insbesondere die eigene Vertragsverwaltung, fallen nicht unter diese Weisungsbindung und sind gesondert zu beurteilen.
2. Art, Zweck und Dauer
Der Auftrag umfasst Erfassung, Speicherung, Bereitstellung, Abgleich, Berichtigung, Export und Löschung von Bestell- und Betriebsdaten zur technischen QR-Bestellung, Auftragsbearbeitung, Zahlungsstatuszuordnung, Kassenerfassungsbestätigung und zur beauftragten Unterstützung. Er läuft für die Dauer des Betreibervertrags zuzüglich einer vereinbarten Rückgabe- und Löschphase: [Frist]. Die Verarbeitung beginnt erst nach wirksamer Einbeziehung dieser Vereinbarung und ihrer ausgefüllten Anlagen.
3. Dokumentierte Weisungen
Das Restaurant bestimmt die zulässigen Zwecke und erteilt dokumentierte Weisungen über [berechtigte Personen und Kanal]. Zackisch verarbeitet Auftragsdaten nur danach, auch bei Übermittlungen außerhalb des EWR. Gesetzlich erzwungene abweichende Verarbeitung wird dem Restaurant vorab mitgeteilt, soweit das Gesetz dies erlaubt. Hält Zackisch eine Weisung für datenschutzrechtswidrig, informiert es das Restaurant unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus. Weisungen und Änderungen werden nachvollziehbar dokumentiert.
4. Vertraulichkeit und Zugriff
Zackisch setzt nur befugte, zur Vertraulichkeit verpflichtete oder gesetzlich gebundene Personen ein. Zugriffe werden auf die erforderlichen Aufgaben begrenzt, Berechtigungen regelmäßig geprüft und beim Wegfall des Zwecks entzogen. Fernzugriffe und privilegierte Supportzugriffe sind in der Sicherheitsanlage zu beschreiben. Die Vertraulichkeit gilt über das Ende des Auftrags hinaus.
5. Technische und organisatorische Maßnahmen
Die Parteien vereinbaren die konkret ausgefüllten Maßnahmen der Anlage B als angemessenes Schutzniveau nach Artikel 32 DSGVO. Zackisch überprüft deren Wirksamkeit regelmäßig und nach wesentlichen Änderungen. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten; wesentliche Änderungen werden dokumentiert und dem Restaurant zur Prüfung mitgeteilt. Nicht ausgefüllte Nachweisfelder sind keine Zusicherung, dass eine Maßnahme umgesetzt, zertifiziert oder erfolgreich getestet wurde.
6. Unterauftragsverarbeiter und Drittländer
Das Restaurant genehmigt die in Anlage C einzeln bezeichneten Unterauftragsverarbeiter. Neue oder ersetzende Unterauftragnehmer werden vorab mit Aufgabe, Datenstandorten und Garantien angekündigt; Widerspruchsfrist: [Frist]. Bei begründetem Datenschutzwiderspruch vereinbaren die Parteien eine geeignete Alternative oder die Beendigung des betroffenen Leistungsteils. Unterauftragnehmer werden auf gleichwertige Datenschutzpflichten verpflichtet; Zackisch bleibt für deren Pflichterfüllung verantwortlich. Drittlandübermittlungen benötigen zusätzlich eine tatsächlich anwendbare Grundlage nach Kapitel V DSGVO.
7. Betroffenenrechte und Unterstützung
Zackisch leitet eingehende Betroffenenanträge zu Auftragsdaten unverzüglich an das Restaurant weiter und unterstützt es bei Suche, Auskunft, Berichtigung, Einschränkung, Datenübertragung und Löschung. Eine inhaltliche Antwort im Namen des Restaurants erfolgt nur nach Weisung oder gesetzlicher Pflicht. Unter Berücksichtigung der Art der Verarbeitung und verfügbarer Informationen unterstützt Zackisch außerdem Sicherheitsbewertung, Datenschutz-Folgenabschätzung und erforderliche Konsultationen. Ansprechpartner und Reaktionsablauf: [ergänzen].
8. Datenschutzverletzungen
Zackisch benachrichtigt das Restaurant unverzüglich nach Bekanntwerden einer Verletzung des Schutzes von Auftragsdaten. Die Mitteilung enthält, soweit bekannt, Art und Umfang, betroffene Kategorien, ungefähre Zahlen, mögliche Folgen, Maßnahmen und einen Kontakt; fehlende Informationen werden schrittweise ergänzt. Meldekanal und erreichbare Vertretung: [ergänzen]. Das Restaurant entscheidet über eigene Meldungen an Behörden und Betroffene. Die gesetzliche 72-Stunden-Frist des Verantwortlichen ist keine Wartefrist für Zackisch.
9. Nachweise und Prüfungen
Zackisch stellt erforderliche Informationen zum Nachweis der Pflichten aus Artikel 28 DSGVO bereit und ermöglicht Prüfungen einschließlich Inspektionen durch das Restaurant oder dessen beauftragten Prüfer. Praktische Abstimmung schützt den laufenden Betrieb und Daten anderer Kunden, darf wirksame Kontrolle aber nicht ausschließen. Regelmäßige Prüfungsintervalle, sichere Nachweisbereitstellung und Vorgehen bei dringenden Anlässen: [ergänzen]. Behördenrechte bleiben unberührt.
10. Rückgabe, Löschung und Sicherungen
Nach Ende der Verarbeitung gibt Zackisch die Auftragsdaten nach Wahl des Restaurants zurück oder löscht sie und vorhandene Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Wahl, Exportformat, Frist und Löschbestätigung: [festlegen]. Rechtlich aufzubewahrende Daten werden auf den zulässigen Zweck beschränkt. Anlage B muss Backup-Rotation, gesperrte Restkopien und erneute Anwendung bereits erfolgter Löschungen nach einer Wiederherstellung konkret beschreiben. Eine Sicherungskopie erlaubt keine erneute operative Nutzung gelöschter Daten.
Anlage A · Daten und betroffene Personen
Betroffene Personen: Gäste, Betreiber und berechtigte Beschäftigte; bei beauftragtem Support zusätzlich Anfragende. Daten: Bestellpositionen und Optionen, Tisch/Abholung, Beträge, Zeitpunkte, Bestell- und Zahlungsreferenzen, freiwillige Bestätigungs-E-Mail, Bearbeitungs- und Kassenerfassungsstatus, berechtigte Nutzerkennungen sowie erforderliche Supportinhalte. Besondere Kategorien personenbezogener Daten sind nicht als regulärer Leistungsbestandteil vorgesehen. [Weitere tatsächlich beauftragte Datenarten und Verarbeitungsvorgänge, Erhebungsquellen, Empfänger sowie kategorienbezogene Fristen ergänzen.]
Anlage B · Sicherheits- und Wiederherstellungsnachweise
Für jede Maßnahme sind Verantwortlicher, tatsächliche Konfiguration, Prüftermin und Nachweis einzutragen: Mandanten- und Rollenprüfung [Nachweis]; Sitzungsablauf und Widerruf [Nachweis]; privilegierte Anmeldung und Mehrfaktorschutz [Nachweis]; Transport- und Speicherverschlüsselung einschließlich Schlüsselverwaltung [Nachweis]; Upload- und Anhangsschutz [Nachweis]; Protokollredaktion und Zugriffsprüfung [Nachweis]; Update- und Schwachstellenprozess [Nachweis]; Personalvertraulichkeit und Schulung [Nachweis]; Backup-Ziel, Intervall, Aufbewahrung, Verschlüsselung und Berechtigte [Angaben]; tatsächlich getesteter Restore, tolerierbarer Datenverlust und Wiederanlaufzeit [Nachweis]; Löschjournal, Legal Holds und Löschwiederholung nach Restore [Nachweis]. Dienstleisterbescheinigungen sind mit Geltungsbereich und Datum beizufügen, nicht als pauschales Zackisch-Zertifikat auszugeben.
Anlage C · Unterauftragnehmerverzeichnis
Auszufüllende Einträge: Cloudflare: Webauslieferung [Vertragsgesellschaft, Anschrift, konkrete Dienste, Datenorte, Datenarten, Vertrags-/Garantienachweis]; Convex: Backend und Speicherung [dieselben Angaben]; E-Mail-Anbieter: Nachrichtenversand [dieselben Angaben]; weitere beauftragte Anbieter [Einträge]. Für jeden Eintrag sind Genehmigungsdatum und Änderungsstand festzuhalten. Stripe ist tätigkeitsbezogen einzuordnen: eigenständig verantwortliche Zahlungsdienste dürfen nicht ungeprüft als bloße Unterauftragsverarbeitung des Restaurants bezeichnet werden. [Tatsächliche Stripe-Rollen und Verträge zuordnen.]
Vereinbarung und Fassungsstand
Fassung: Muster 2026-11-05. Anlage A, B und C sind Bestandteil dieser Vereinbarung. [Ausgefüllte Fassung, Datum, berechtigte Vertreter und dokumentierte elektronische oder schriftliche Annahme ergänzen.] Änderungen sind nachvollziehbar zu vereinbaren. Die Veröffentlichung dieser Vorlage allein ist weder ein Vertragsschluss noch ein Nachweis einer Sicherheitsprüfung.