Vertrag zur Auftragsverarbeitung (AVV)

Präambel

Dieser Vertrag zur Auftragsverarbeitung (AVV) regelt die Verarbeitung personenbezogener Daten durch Oleksandr Rybalchenko, An d. Ottosäule 14, 85521 Ottobrunn, Deutschland (nachfolgend „Auftragsverarbeiter“) im Auftrag des Kunden (nachfolgend „Verantwortlicher“) bei der Nutzung des Dienstes Kellno. Er ist Bestandteil des Vertrags über die Nutzung von Kellno und wird mit der Zustimmung zu den Allgemeinen Geschäftsbedingungen geschlossen (Art. 28 Abs. 9 DSGVO).

§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand ist die Verarbeitung personenbezogener Daten der Gäste des Verantwortlichen, die dessen digitale Speisekarte aufrufen oder den KI-Kellner nutzen. Die Verarbeitung dient der Auslieferung der Speisekarte in der Sprache des Gastes, der Beantwortung von Fragen zur Speisekarte und der Erstellung einer Nutzungsstatistik für den Verantwortlichen.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags.

(3) Betroffene Personen sind die Gäste des Verantwortlichen.

(4) Verarbeitet werden: technische Verbindungsdaten (IP-Adresse, Browser- und Gerätetyp, Browsersprache, Zeitpunkt), anonymisierte Nutzungsereignisse (Aufruf, geöffnete Kategorien und Gerichte, Auswahl, Bewertung) mit einem täglich wechselnden, nicht umkehrbaren Kurz-Hash sowie die Texte, die Gäste in den KI-Kellner eingeben. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; Gäste werden gebeten, keine persönlichen Daten einzugeben.

(5) Die Verarbeitung der Daten des Verantwortlichen selbst (Kundenkonto, Abrechnung) erfolgt nicht im Auftrag, sondern in eigener Verantwortung des Auftragsverarbeiters nach Maßgabe der Datenschutzerklärung.

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Die Weisungen ergeben sich aus dem Hauptvertrag, diesem AVV und den Einstellungen, die der Verantwortliche im Kundenbereich vornimmt. Weitere Einzelweisungen erfolgen in Textform.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 3 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 4 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage 1 beschrieben.

(2) Der Auftragsverarbeiter darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus in Textform über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Lässt sich keine einvernehmliche Lösung finden, können beide Parteien den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses AVV im Wesentlichen entsprechen, und bleibt dem Verantwortlichen gegenüber für deren Einhaltung verantwortlich.

§ 6 Übermittlung in Drittländer

Eine Verarbeitung außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder von Standardvertragsklauseln. Die betroffenen Länder ergeben sich aus Anlage 2.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12 bis 22 DSGVO) zu beantworten. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

(3) Da die Nutzungsstatistik ohne Kennungen geführt wird, die einzelnen Gästen dauerhaft zugeordnet werden können, und Unterhaltungen mit dem KI-Kellner nicht gespeichert werden, ist eine Zuordnung gespeicherter Daten zu einer bestimmten Person in der Regel nicht möglich (Art. 11 DSGVO).

§ 8 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betreffen, unverzüglich nach Bekanntwerden in Textform. Die Meldung enthält, soweit möglich, die in Art. 33 Abs. 3 DSGVO genannten Angaben.

§ 9 Löschung und Rückgabe

(1) Nutzungsereignisse werden spätestens 120 Tage nach ihrer Erfassung gelöscht. Unterhaltungen mit dem KI-Kellner werden vom Auftragsverarbeiter nicht gespeichert.

(2) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung besteht. Löscht der Verantwortliche sein Konto, werden die Daten sofort gelöscht.

§ 10 Nachweise und Überprüfungen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind.

(2) Der Auftragsverarbeiter ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt dazu bei. Überprüfungen werden mit angemessener Frist angekündigt, finden zu den üblichen Geschäftszeiten statt und sollen den Betriebsablauf nicht unverhältnismäßig stören. In der Regel genügt die Vorlage aktueller Nachweise, Bescheinigungen oder Berichte.

§ 11 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er informiert seine Gäste in geeigneter Weise über die Verarbeitung; ein Verweis auf die über die Speisekarte verlinkten Datenschutzhinweise ist hierfür möglich.

§ 12 Schlussbestimmungen

(1) Für die Haftung gelten die Regelungen des Hauptvertrags, soweit Art. 82 DSGVO nichts anderes bestimmt.

(2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV in datenschutzrechtlichen Fragen vor.

(3) Es gelten Rechtswahl und Gerichtsstand des Hauptvertrags. Maßgeblich ist die deutsche Fassung.

Anlage 1 — Technische und organisatorische Maßnahmen

Zugang und Berechtigungen: Anmeldung mit E-Mail-Adresse und Passwort (nur als Hash gespeichert) oder Google-Konto. Strikte Trennung der Kunden: jede Abfrage im Kundenbereich ist auf das eigene Restaurant beschränkt; in der Datenbank ist für alle Tabellen eine Zugriffsbeschränkung auf Zeilenebene aktiviert. Administrative Zugriffe sind auf ausdrücklich freigeschaltete Konten beschränkt.

Übertragung und Speicherung: ausschließlich verschlüsselte Übertragung (HTTPS mit HSTS). Speicherung in Rechenzentren der in Anlage 2 genannten Anbieter. Zugangsschlüssel zu Diensten liegen nur in der Betriebsumgebung, nicht im Quellcode.

Datensparsamkeit: Gäste werden ohne Cookies und ohne Speicherung auf ihrem Gerät bedient. IP-Adressen werden nicht in der Datenbank gespeichert; für die Statistik wird ein täglich wechselnder, nicht umkehrbarer Kurz-Hash verwendet. Unterhaltungen mit dem KI-Kellner werden nicht gespeichert. Fehlerberichte enthalten keine IP-Adressen, Cookies oder Inhalte.

Verfügbarkeit und Belastbarkeit: automatische Erreichbarkeitsprüfung in kurzen Abständen; neue Versionen gehen nur nach bestandener Prüfung in Betrieb; automatischer Neustart bei Ausfall; Begrenzung von Anfragen je Anschluss zum Schutz vor Überlastung und Missbrauch.

Löschung: automatische Löschung der Nutzungsereignisse nach 120 Tagen; vollständige Löschung aller Daten eines Restaurants durch den Kunden selbst im Kundenbereich.

Überprüfung: automatisierte Tests und Prüfungen bei jeder Änderung der Software; Überwachung von Fehlern.

Anlage 2 — Unterauftragsverarbeiter

Supabase Inc., USA — Datenbank und Dateispeicher. Ort der Verarbeitung: Vereinigtes Königreich (London). Grundlage: Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich.

Railway Corporation, USA — Betrieb der Anwendung (Hosting), Server-Logfiles. Grundlage für Übermittlungen in die USA: Standardvertragsklauseln bzw. EU-U.S. Data Privacy Framework.

OpenAI Ireland Limited, Irland, und OpenAI, L.L.C., USA — Erzeugung der Antworten des KI-Kellners sowie Übersetzungen. Grundlage für Übermittlungen in die USA: Standardvertragsklauseln.

Functional Software, Inc. (Sentry), USA — Fehlerüberwachung, sofern aktiviert. Ort der Verarbeitung: Europäische Union.

Cloudflare, Inc., USA — Schutz vor automatisierten Anmeldungen, sofern aktiviert; betrifft nur den Kundenbereich, nicht die Gäste.

Stand

Oktober 2026