Auftragsverarbeitungsvertrag (AVV)
Stand: August 2026 · Gemäß Art. 28 DSGVO zwischen Platzsache (Auftragnehmer) und dem jeweiligen Restaurantbetreiber (Auftraggeber).
Dieser AVV ist Bestandteil des Nutzungsvertrages und gilt automatisch für alle Kunden von Platzsache, die Gästedaten über die Plattform verarbeiten.
§ 1 Gegenstand und Dauer
Platzsache (Auftragnehmer) verarbeitet im Auftrag des Restaurantbetreibers (Auftraggeber) personenbezogene Daten zur Erbringung der Reservierungsmanagement- Software (SaaS). Die Verarbeitung erfolgt für die Dauer des Nutzungsvertrages.
§ 2 Art, Umfang und Zweck der Verarbeitung
Zweck: Verwaltung von Tischreservierungen, Gästedaten und damit verbundener Kommunikation (E-Mails).
Art der Verarbeitung: Erhebung, Speicherung, Nutzung, Übermittlung (E-Mail-Versand), Löschung.
Kategorien betroffener Personen: Gäste des Restaurantbetreibers.
Kategorien personenbezogener Daten:
- Name
- E-Mail-Adresse
- Telefonnummer
- Reservierungsdetails (Datum, Uhrzeit, Personenzahl, Sitzwunsch)
- Notizen und Tags (vom Restaurantbetreiber erfasst)
- Besuchshistorie, No-Show-Status
- Marketingeinwilligung (Boolean)
§ 3 Weisungsrecht
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich nach Weisung des Auftraggebers, es sei denn, gesetzliche Verpflichtungen erfordern eine anderweitige Verarbeitung (Art. 28 Abs. 3 lit. a DSGVO). Als Weisungen gelten insbesondere die Eingaben des Auftraggebers in der Plattform sowie diese Vereinbarung.
§ 4 Technische und organisatorische Maßnahmen (TOMs)
Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, insbesondere:
- Verschlüsselte Datenübertragung (TLS/HTTPS)
- Datenbankhosting in der EU (Frankfurt) bei Supabase/Neon
- Passwörter werden ausschließlich als bcrypt-Hash gespeichert
- Zugriffskontrollen und rollenbasierte Berechtigungen (WAITER / MANAGER / OWNER)
- Automatischer DSGVO-Löschjob für Gästedaten nach konfigurierter Frist
- Vertragliche Bindung aller Subunternehmer an DSGVO-konforme Verarbeitung
§ 5 Unterauftragsverarbeiter
Der Auftragnehmer setzt folgende Unterauftragsverarbeiter ein. Der Auftraggeber erteilt hiermit seine generelle Genehmigung für den Einsatz dieser Unterauftragnehmer:
| Unternehmen | Sitz | Zweck | Grundlage |
|---|---|---|---|
| Vercel Inc. | USA | App-Hosting | SCC |
| Supabase / Neon | EU (Frankfurt) | Datenbankhosting | Art. 46 DSGVO |
| Resend Inc. | USA | E-Mail-Versand | SCC |
Änderungen am Einsatz von Unterauftragsverarbeitern werden dem Auftraggeber mindestens 30 Tage im Voraus mitgeteilt.
§ 6 Rechte der betroffenen Personen
Soweit ein Gast des Auftraggebers Rechte gemäß Art. 15–22 DSGVO gegenüber dem Auftraggeber geltend macht, unterstützt der Auftragnehmer den Auftraggeber bei der Erfüllung dieser Rechte durch geeignete technische und organisatorische Maßnahmen.
§ 7 Meldepflichten
Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten bekannt werden. Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gegenüber den Aufsichtsbehörden (Art. 33, 34 DSGVO).
§ 8 Löschung und Rückgabe
Nach Beendigung des Vertrages löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Auftraggeber kann vor der Löschung einen Datenexport im CSV-Format anfordern.
§ 9 Kontroll- und Prüfrechte
Der Auftraggeber hat das Recht, die Einhaltung dieser Vereinbarung zu überprüfen. Prüfungen sind mit angemessener Vorankündigungsfrist (mindestens 14 Tage) und während der üblichen Geschäftszeiten durchzuführen. Der Auftragnehmer stellt die erforderlichen Informationen zur Verfügung.
§ 10 Kontakt
Fragen zu diesem AVV richten Sie bitte an: datenschutz@platzsache.de