Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

Gegenstand ist die Verarbeitung personenbezogener Daten, die im Rahmen der Nutzung des Kassensystems Servire und seiner Module anfällt. Art, Umfang und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

Der Vertrag beginnt mit seiner Annahme und läuft, solange der Auftragsverarbeiter für den Verantwortlichen personenbezogene Daten verarbeitet. Er endet mit dem zugrunde liegenden Hauptvertrag, jedoch nicht vor Abschluss der Rückgabe oder Löschung nach § 9.

Beide Parteien können diesen Vertrag aus wichtigem Grund kündigen, insbesondere wenn die andere Partei schwerwiegend gegen Datenschutzvorschriften oder gegen wesentliche Pflichten aus diesem Vertrag verstößt und den Verstoß trotz Aufforderung nicht in angemessener Frist abstellt. Eine Kündigung dieses Vertrags ohne gleichzeitige Beendigung des Hauptvertrags ist nicht möglich, weil die Leistungen ohne Verarbeitung im Auftrag nicht erbracht werden können.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich, um die vertraglich geschuldeten Leistungen zu erbringen. Eine Verarbeitung zu eigenen Zwecken findet im Rahmen dieses Vertrags nicht statt.

Soweit der Auftragsverarbeiter für eigene Zwecke verarbeitet, etwa zur Vertragsabwicklung mit dem Verantwortlichen, zur Abrechnung oder für ein standortübergreifendes Gästekonto, ist er dafür selbst Verantwortlicher. Diese Verarbeitungen sind nicht Gegenstand dieses Vertrags und in Anlage 3 gesondert gekennzeichnet.

Die Verarbeitung findet in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums statt. Eine Verarbeitung in einem Drittland erfolgt nur, wenn die Voraussetzungen des Kapitels V der DSGVO erfüllt sind; Anlage 3 weist solche Fälle mit ihrer Rechtsgrundlage aus.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser Vertrag einschließlich seiner Anlagen sowie die Einstellungen, die der Verantwortliche in der Software vornimmt, sind seine ursprünglichen Weisungen.

Weitere Weisungen erteilt der Verantwortliche in Textform an datenschutz@servire.de. Mündlich erteilte Weisungen bestätigt er unverzüglich in Textform. Der Auftragsverarbeiter dokumentiert alle Weisungen.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er dies dem Verantwortlichen unverzüglich mit und setzt die Ausführung so lange aus. Eine Weisung, deren Ausführung gegen Datenschutzrecht verstößt, führt er auch nach einer Bestätigung durch den Verantwortlichen nicht aus.

Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, die über die Weisungen hinausgeht, unterrichtet er den Verantwortlichen vor der Verarbeitung, sofern das betreffende Recht diese Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.

Der Auftragsverarbeiter macht die eingesetzten Personen mit den für sie geltenden Datenschutzbestimmungen und der Weisungsbindung vertraut. Zugriff erhalten sie nur in dem Umfang, den ihre Aufgabe erfordert.

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Anlage 2 beschrieben und für die Dauer dieses Vertrags verbindlich.

Der Auftragsverarbeiter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und macht sie dem Verantwortlichen auf Anfrage zugänglich.

Der Verantwortliche erteilt die allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO, weitere Auftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unternehmen sind in Anlage 3 mit Rechtsträger, Leistung, Datenarten und Verarbeitungsort benannt.

Beabsichtigt der Auftragsverarbeiter, einen weiteren Auftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen vor dem beabsichtigten Einsatz in Textform an die hinterlegte Rechnungsadresse. Die Information benennt das Unternehmen, seine Leistung, die betroffenen Datenarten und den Verarbeitungsort.

Der Verantwortliche kann dem Einsatz innerhalb von 30 Tagen nach Zugang der Information aus einem datenschutzrechtlichen Grund in Textform widersprechen. Der Einsatz beginnt frühestens nach Ablauf dieser Frist; bis dahin verarbeitet das benannte Unternehmen keine Daten des Verantwortlichen. Widerspricht er rechtzeitig, so bietet der Auftragsverarbeiter eine Alternative an, erbringt die Leistung ohne den betreffenden Dienst weiter oder beendet die betroffene Teilleistung, und das Unternehmen wird für diesen Standort nicht eingesetzt. Ist keine dieser Möglichkeiten zumutbar, kann jede Partei den Vertrag für die betroffene Leistung mit angemessener Frist kündigen. Widerspricht der Verantwortliche nicht innerhalb der Frist, gilt der Einsatz als genehmigt.

Der Auftragsverarbeiter verpflichtet jeden weiteren Auftragsverarbeiter vertraglich auf dieselben Pflichten, die ihn nach diesem Vertrag treffen. Er bleibt dem Verantwortlichen gegenüber für die Einhaltung dieser Pflichten verantwortlich.

Nebenleistungen, bei denen keine personenbezogenen Daten des Verantwortlichen verarbeitet werden, sind keine weitere Auftragsverarbeitung; das betrifft etwa reine Telekommunikationsleistungen oder Reinigung. Wird bei einer Nebenleistung auf solche Daten zugegriffen, insbesondere bei der Vernichtung von Datenträgern, gilt sie als weitere Auftragsverarbeitung nach diesem Paragraphen. Im Übrigen trifft der Auftragsverarbeiter angemessene Vorkehrungen zum Schutz der Daten.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch zu erfüllen. Die Software stellt dafür Export- und Löschfunktionen bereit; Anlage 1 benennt sie je Modul.

Diese Funktionen stehen dem Verantwortlichen unabhängig vom Bestand dieses Vertrags zur Verfügung. Ein Streit über den Vertrag darf ihn nicht daran hindern, Betroffenenrechte zu erfüllen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Datenschutz-Folgenabschätzungen und bei einer vorherigen Konsultation der Aufsichtsbehörde, jeweils im Rahmen der ihm vorliegenden Informationen.

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Verantwortlichen unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis. Die Frist von 72 Stunden, die den Verantwortlichen nach Art. 33 DSGVO trifft, ist keine Wartefrist für den Auftragsverarbeiter.

Die Erstmeldung beschreibt die Art der Verletzung, soweit möglich die Kategorien und die Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Fehlende Angaben liefert der Auftragsverarbeiter unverzüglich nach, sobald sie vorliegen.

Sicherheitskontakt des Auftragsverarbeiters ist datenschutz@servire.de. Der Verantwortliche hält eine Kontaktadresse für solche Meldungen aktuell; ohne gesonderte Angabe gilt die hinterlegte Rechnungsadresse.

Nach Beendigung der Verarbeitung löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie zurück, je nachdem, was der Verantwortliche wählt. Trifft der Verantwortliche keine Wahl, stellt der Auftragsverarbeiter die Daten zunächst zum Abruf bereit und löscht sie anschließend nach den Fristen der Allgemeinen Geschäftsbedingungen.

Der Auftragsverarbeiter stellt einen Datenexport in einem gängigen maschinenlesbaren Format bereit, für die fiskalisch relevanten Daten insbesondere nach DSFinV-K.

Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Das betrifft vor allem die fiskalischen Kassenaufzeichnungen, die nach § 147 AO und § 146a AO zehn Jahre aufzubewahren sind, sowie die Aufzeichnungen der Arbeitszeiterfassung. Diese Daten werden für die Dauer der Aufbewahrungspflicht gesperrt und ausschließlich zu diesem Zweck verarbeitet.

Sicherungskopien werden im Rahmen der üblichen Aufbewahrungszyklen überschrieben. Bis dahin bleiben sie gegen weitere Verarbeitung geschützt. Beide Parteien erhalten diesen Vertrag bei Abschluss als PDF; der Verantwortliche kann ihn jederzeit im Web desk erneut herunterladen. Die Dokumentation der Annahme führt der Auftragsverarbeiter, solange der Standort besteht, und stellt sie dem Verantwortlichen vor einer Löschung auf Anfrage bereit.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

Der Verantwortliche kann Überprüfungen einschließlich Inspektionen durchführen oder durch einen von ihm beauftragten Prüfer durchführen lassen. Der Auftragsverarbeiter trägt dazu bei. Prüfungen finden in der Regel nach angemessener Vorankündigung während der üblichen Geschäftszeiten statt; bei einer Verletzung des Schutzes personenbezogener Daten oder einem konkreten Verdacht auf einen erheblichen Verstoß auch kurzfristig. Der Prüfer ist zur Verschwiegenheit verpflichtet; gegen einen unmittelbaren Wettbewerber kann der Auftragsverarbeiter aus einem sachlichen Grund Einwände erheben und einen anderen Prüfer verlangen.

Der Auftragsverarbeiter kann den Nachweis auch durch aktuelle Testate, Zertifikate oder Prüfberichte unabhängiger Stellen führen. Genügt das dem Verantwortlichen im Einzelfall nicht, bleibt sein Recht auf eine eigene Prüfung unberührt.

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er informiert seine Gäste und Beschäftigten über die Verarbeitung und holt erforderliche Einwilligungen selbst ein, insbesondere für Werbung per E-Mail.

Der Verantwortliche erhebt nur Daten, die er für seine Zwecke benötigt, und konfiguriert die Software entsprechend. Er verwaltet die Zugänge seiner Beschäftigten und entzieht sie unverzüglich, wenn sie nicht mehr benötigt werden.

Der Verantwortliche unterrichtet den Auftragsverarbeiter unverzüglich, wenn er bei der Prüfung der Ergebnisse Fehler oder Unregelmäßigkeiten in Bezug auf datenschutzrechtliche Bestimmungen feststellt.

Für die Haftung gelten Art. 82 DSGVO und die Haftungsregelungen der Allgemeinen Geschäftsbedingungen. Die Haftung nach Art. 82 DSGVO gegenüber betroffenen Personen bleibt unberührt.

Änderungen dieses Vertrags bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen geht dieser Vertrag in Fragen des Datenschutzes vor.

Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Vorschriften.

Welche Daten anfallen, hängt davon ab, welche Module der Verantwortliche einsetzt. Die folgende Übersicht beschreibt den größtmöglichen Umfang je Modul.

Funktionen zur Erfüllung der Betroffenenrechte: Die Gästeverwaltung stellt für jedes Gastprofil einen vollständigen Datenexport und eine Anonymisierung bereit, die auch verknüpfte Reservierungen, Bestellungen und Wartelisteneinträge erfasst. Beschäftigte erhalten Auskunft über ihre Arbeitszeitdaten über die Zeiterfassung und, soweit der Verantwortliche ihnen den Team-Bereich freigibt, über ihre Dienste, Anträge, Abwesenheiten und ihr Urlaubskonto über den Team-Bereich des Dienstplans. Der Verantwortliche kann außerdem jederzeit einen vollständigen Datenexport des Standorts anfordern.

Die Maßnahmen nach Art. 32 DSGVO berücksichtigen den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und das Risiko für die betroffenen Personen.

Die folgenden Unternehmen verarbeiten personenbezogene Daten im Auftrag des Verantwortlichen, vermittelt über den Auftragsverarbeiter. Für Änderungen gilt das Verfahren nach § 6.

Nicht Auftragsverarbeiter, sondern eigenständig Verantwortliche sind die folgenden Empfänger. Der Verantwortliche entscheidet selbst, ob er sie einsetzt, und schließt die erforderlichen Vereinbarungen unmittelbar mit ihnen: Zahlungsdienstleister (Stripe, SumUp, Zettle, PayPal, Payone), Lieferplattformen (Wolt, Uber Eats sowie über den Vermittler Flyt angebundene Plattformen), Reservierungsvermittlung über Google, Buchhaltungs- und Steuerdienste (DATEV, sevDesk) sowie der vom Verantwortlichen benannte Steuerberater.

Eigene Verarbeitung des Auftragsverarbeiters: Für die Abwicklung des Vertragsverhältnisses mit dem Verantwortlichen sowie für ein standortübergreifendes Gästekonto, das Gäste selbst anlegen, ist die Servire GmbH eigenständig Verantwortliche. Diese Verarbeitungen sind nicht Gegenstand dieses Vertrags; über sie informiert die Datenschutzerklärung unter servire.de.