Auftragsverarbeitungsvertrag (AVV)

(1) Gegenstand

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Vertragsparteien im Zusammenhang mit der Auftragsverarbeitung gemäß Art. 28 DSGVO. Er ergänzt den Plattformvertrag (AGB B2B) zwischen dem jeweiligen Restaurant-Partner als Verantwortlichem (Auftraggeber), der die Plattform BestellClick zur Entgegennahme von Online-Bestellungen nutzt, und BestellClick — Betreiber Adil Sghair, Spretistrasse 13c, 85057 Ingolstadt, E-Mail: info@bestellclick.de, als Auftragsverarbeiter (Auftragnehmer).

(2) Dauer

Dieser AVV gilt für die gesamte Dauer des Plattformvertrags (AGB B2B) und endet automatisch mit dessen Beendigung, unbeschadet der Pflichten zur Löschung oder Rückgabe personenbezogener Daten gemäß § 4 Abs. 8.

(3) Art und Zweck der Verarbeitung

BestellClick verarbeitet personenbezogene Daten im Auftrag des Restaurant-Partners zum Zweck der:

• a) Bestellabwicklung: Entgegennahme, Speicherung und Verwaltung von Endkundenbestellungen über die Plattform
• b) Zahlungsabwicklung: Weiterleitung von Zahlungsdaten an den Zahlungsdienstleister Stripe zur Verarbeitung auf dem Connected Account des Restaurant-Partners
• c) Kommunikation: Versand von Transaktions-E-Mails an Endkunden (Bestellbestätigung, Statusupdates, Stornierungsbenachrichtigung) im Auftrag des Restaurant-Partners
• d) Standortverwaltung: Speicherung und Bereitstellung der vom Restaurant-Partner eingegebenen Standort- und Kontaktdaten
• e) Gutscheinverwaltung: Validierung und Anwendung von Gutscheincodes auf Bestellungen

(4) Art der Verarbeitung

Die Verarbeitung umfasst: Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Anpassung, Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung, Abgleich, Verknüpfung, Einschränkung, Löschung und Vernichtung personenbezogener Daten.

(1) Art der personenbezogenen Daten

Endkundendaten (Bestellungen):

• Vor- und Nachname
• E-Mail-Adresse
• Telefonnummer
• Lieferadresse (Straße, Hausnummer, Postleitzahl, Stadt) — bei Lieferbestellungen
• Bestellinhalt (Warenkorbdaten mit Artikeln, Optionen, Preisen)
• Preisaufschlüsselung (Zwischensumme, Liefergebühr, Rabatt, Gesamtbetrag)
• Zahlungsmethode (cash / stripe_connect) und Zahlungsstatus
• Stripe-PaymentIntent-ID, Stripe-Charge-ID (bei Online-Zahlung)
• Gutscheincode (falls verwendet)
• Stornierungsgrund (Freitext, falls storniert)
• Bestellstatus und Zeitstempel
• Bestellnummer (Kunden- und Restaurant-Referenz)

Standort-Kontaktdaten (Restaurant-Personal):

• Kontaktname des Standorts
• Kontakt-E-Mail des Standorts
• Kontakt-Telefonnummer des Standorts

(2) Kategorien betroffener Personen

• Endkunden: Natürliche Personen, die über die Plattform Bestellungen beim Restaurant-Partner aufgeben
• Kontaktpersonen des Restaurant-Partners: Ansprechpartner/Inhaber des Standorts, deren Kontaktdaten auf der Bestellseite angezeigt werden

(1) Weisungsrecht

Der Verantwortliche ist für die Einhaltung der datenschutzrechtlichen Vorschriften verantwortlich, insbesondere für die Rechtmäßigkeit der Datenverarbeitung (Art. 6 DSGVO). Er erteilt dem Auftragsverarbeiter Weisungen hinsichtlich Art, Umfang und Verfahren der Datenverarbeitung.

(2) Weisungen

Die in diesem AVV festgelegten Verarbeitungszwecke und -modalitäten gelten als dokumentierte Weisungen des Verantwortlichen. Darüber hinausgehende Weisungen sind in Textform (E-Mail genügt) an info@bestellclick.de zu richten.

(3) Informationspflicht

Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(4) Datenschutzerklärung

Der Verantwortliche stellt sicher, dass die Endkunden über die Datenverarbeitung im Rahmen der Bestellabwicklung informiert werden. BestellClick stellt hierfür eine Datenschutzerklärung auf der Bestellseite bereit, die den Restaurant-Partner als Verantwortlichen benennt.

(1) Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(3) Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten. Die konkreten Maßnahmen sind in Anlage 1 zu diesem AVV dokumentiert.

(4) Unterauftragsverarbeitung

Der Auftragsverarbeiter setzt die in Anlage 2 genannten Unterauftragsverarbeiter ein. Für die Hinzuziehung weiterer oder die Ersetzung bestehender Unterauftragsverarbeiter gilt das Verfahren gemäß § 5.

(5) Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Art. 15–22 DSGVO). Geht ein Antrag eines Betroffenen direkt beim Auftragsverarbeiter ein, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter.

(6) Unterstützung bei Sicherheitspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(7) Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten gemäß § 7 dieses AVV.

(8) Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Plattformvertrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche kann innerhalb von 30 Tagen nach Vertragsende einen Export seiner Daten anfordern. Nach Ablauf dieser Frist werden die Daten unwiderruflich gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Daten, die steuerrechtlichen Aufbewahrungspflichten unterliegen (§§ 147 AO, 257 HGB), werden für die Dauer der Aufbewahrungsfrist gesperrt und nach deren Ablauf gelöscht.

(9) Audits und Inspektionen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht und trägt zu Überprüfungen — einschließlich Inspektionen — bei, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden.

Die Überprüfung ist mit einer Ankündigungsfrist von mindestens 14 Tagen anzukündigen und darf den Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigen. Der Verantwortliche trägt die Kosten der Überprüfung.

(1) Allgemeine Genehmigung

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO. Die aktuell genehmigten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

(2) Änderungen

Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern mindestens 30 Tage vor der geplanten Änderung per E-Mail. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Zugang der Information widersprechen.

(3) Widerspruch

Widerspricht der Verantwortliche der Hinzuziehung eines neuen Unterauftragsverarbeiters, bemühen sich die Parteien um eine einvernehmliche Lösung. Kann keine Einigung erzielt werden, steht dem Verantwortlichen ein Sonderkündigungsrecht des Plattformvertrags zu.

(4) Vertragliche Absicherung

Der Auftragsverarbeiter stellt sicher, dass jedem Unterauftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auferlegt werden, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO).

(1) Grundsatz

Die Verarbeitung personenbezogener Daten findet grundsätzlich innerhalb der EU/des EWR statt. Die Datenbank (Supabase) wird in der EU-Region (Irland, AWS eu-west-1) betrieben.

(2) Drittlandtransfers

Soweit Unterauftragsverarbeiter personenbezogene Daten in Drittländer (insbesondere USA) übermitteln, stellt der Auftragsverarbeiter sicher, dass geeignete Garantien gemäß Art. 46 DSGVO vorliegen, insbesondere:

• a) EU-Standardvertragsklauseln (SCCs) gemäß Durchführungsbeschluss (EU) 2021/914
• b) Ergänzende technische und organisatorische Maßnahmen gemäß den Empfehlungen des EDSA (Empfehlungen 01/2020)

Die konkreten Transfergrundlagen je Unterauftragsverarbeiter sind in Anlage 2 dokumentiert.

(1) Meldepflicht

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden.

(2) Inhalt der Meldung

Die Meldung enthält die in § 4 Abs. 7 genannten Informationen, soweit diese zum Zeitpunkt der Meldung verfügbar sind. Fehlende Informationen werden unverzüglich nachgereicht.

(3) Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) und den betroffenen Personen (Art. 34 DSGVO).

(1) Haftung gemäß DSGVO

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Jede Partei haftet für den Schaden, der durch eine nicht DSGVO-konforme Verarbeitung verursacht wird, gemäß den gesetzlichen Bestimmungen.

(2) Freistellung

Soweit eine Partei aufgrund einer Verletzung dieses AVV durch die andere Partei gegenüber Dritten (einschließlich Aufsichtsbehörden und betroffenen Personen) in Anspruch genommen wird, stellt die verletzende Partei die andere Partei von allen Ansprüchen frei.

(1) Laufzeit

Dieser AVV gilt für die Dauer des Plattformvertrags (AGB B2B).

(2) Kündigung

Eine gesonderte Kündigung des AVV ist nicht möglich. Der AVV endet automatisch mit Beendigung des Plattformvertrags.

(3) Fortgeltung

Die Pflichten aus diesem AVV, insbesondere zur Vertraulichkeit, Löschung und Unterstützung bei Betroffenenrechten, gelten über das Ende des Vertragsverhältnisses hinaus fort, soweit dies für die ordnungsgemäße Abwicklung erforderlich ist.

Der Auftragsverarbeiter hat folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO implementiert:

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle: Die Serverinfrastruktur wird vollständig in zertifizierten Cloud-Rechenzentren betrieben (u. a. SOC 2, ISO 27001). Der physische Zutritt wird durch die Rechenzentrumsbetreiber kontrolliert.

• Zugangskontrolle: Authentifizierung mit individuellen Zugangsdaten; rollenbasiertes Berechtigungskonzept; serverseitige Zugriffsschlüssel werden nicht im Client offengelegt; Vergabe von Zugriffsrechten nach dem Least-Privilege-Prinzip.
• Zugriffskontrolle: Strikte Mandantentrennung; der Zugriff ist auf die jeweils berechtigten Restaurants/Standorte beschränkt und wird auf Datenbankebene technisch erzwungen; sicherheitsrelevante administrative Zugriffe werden protokolliert.
• Trennungskontrolle: Logische Trennung der Mandantendaten; die Trennung wird auf Datenbankebene technisch erzwungen.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Weitergabekontrolle: verschlüsselte Datenübertragung (TLS/HTTPS); Authentifizierung eingehender Schnittstellen- und Webhook-Aufrufe; Dokumente sind nur über zeitlich begrenzte, signierte Zugriffslinks abrufbar.
• Eingabekontrolle: serverseitige Validierung aller Eingaben; serverseitige Preisberechnung (Preise werden nicht vom Client übernommen); Schutz vor Doppelverarbeitung von Zahlungen und Erstattungen.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

• Hosting mit automatischer Skalierung; Datenbank mit automatischen Backups und Point-in-Time Recovery.
• Graceful Degradation: bei Ausfall der Online-Zahlung wird auf Barzahlung umgestellt; E-Mail-Versand ist fire-and-forget (Bestellungen werden auch bei E-Mail-Ausfall verarbeitet).

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Regelmäßige Überprüfung der eingesetzten Unterauftragsverarbeiter und deren Auftragsverarbeitungsverträge.
• Automatisierte Löschung personenbezogener Daten nach definierten Aufbewahrungsfristen; die konkreten Fristen sind in der Datenschutzerklärung dokumentiert.
• Protokollierung sicherheitsrelevanter administrativer Zugriffe.

5. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a DSGVO)

Zahlungskartendaten werden ausschließlich clientseitig direkt an den PCI-DSS-zertifizierten Zahlungsdienstleister übermittelt und sind für BestellClick zu keinem Zeitpunkt einsehbar.

Sicherheitsrelevante Token und Zugangsdaten werden ausschließlich in gehashter bzw. verschlüsselter Form gespeichert; die Datenübertragung erfolgt verschlüsselt (TLS).

Supabase Pte. Ltd (Vertragspartei / Data Importer) / Supabase, Inc. (US, Gruppe)

• Anschrift: Supabase Pte. Ltd: 65 Chulia Street, #38-02/03, OCBC Centre, Singapore 049513; Supabase, Inc.: Delaware, USA
• Verarbeitungsgegenstand: Zentrale Datenbank (PostgreSQL), Authentifizierung, Dateispeicher (Storage Buckets) für alle Endkunden-, Bestell- und Standortdaten
• Ort der Verarbeitung: EU (Irland) — AWS eu-west-1
• Transfergrundlage: Verarbeitung in der EU (AWS eu-west-1); für potenziellen Fernzugriff EU-Standardvertragsklauseln (SCCs); Supabase DPA

Stripe, Inc. / Stripe Payments Europe, Ltd.

• Anschrift: 354 Oyster Point Blvd, South San Francisco, CA 94080, USA / 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland
• Verarbeitungsgegenstand: Zahlungsabwicklung (Direct Charges auf dem Connected Account des Restaurants), Betrugsprävention, Stripe-Webhooks für den Zahlungsstatus
• Ort der Verarbeitung: USA / EU (Irland)
• Transfergrundlage: EU-US Data Privacy Framework (DPF; zertifizierte Entität: Stripe, LLC); ergänzend EU-Standardvertragsklauseln (SCCs); Stripe DPA

Plus Five Five, Inc. (d/b/a Resend)

• Anschrift: 2261 Market Street #5039, San Francisco, CA 94114, USA
• Verarbeitungsgegenstand: Versand von Transaktions-E-Mails an Endkunden (Bestellbestätigung, Statusupdates, Stornierungsbenachrichtigung)
• Ort der Verarbeitung: USA (Versand über AWS SES eu-west-1)
• Transfergrundlage: EU-US Data Privacy Framework (DPF); ergänzend EU-Standardvertragsklauseln (SCCs); Resend DPA

Vercel, Inc.

• Anschrift: 440 N Barranca Ave #4133, Covina, CA 91723, USA
• Verarbeitungsgegenstand: Hosting der Plattform (Serverless Functions, Edge Network), Cron-Jobs, TLS-Terminierung, Server-Logs
• Ort der Verarbeitung: USA / Global Edge
• Transfergrundlage: EU-US Data Privacy Framework (DPF); ergänzend EU-Standardvertragsklauseln (SCCs); Vercel DPA