Auftragsverarbeitungsvereinbarung

Diese Vereinbarung nach Art. 28 DSGVO gilt zwischen dem Betrieb, der Tischerl nutzt („Verantwortlicher“), und Bernardo Bauer („Auftragsverarbeiter“). Sie wird mit der Registrierung und der Zustimmung zu den Nutzungsbedingungen Teil des Vertrags.

1. Gegenstand und Dauer

Der Auftragsverarbeiter speichert und verarbeitet für den Verantwortlichen die Daten von Gästen, die über Tischerl reservieren. Die Vereinbarung gilt, solange das Konto besteht und Gästedaten gespeichert sind.

2. Art, Zweck und Daten

• Zweck: Entgegennahme, Verwaltung und Bestätigung von Reservierungen, Versand von Bestätigung und Erinnerung, Stornierung.
• Datenarten: Name, E-Mail-Adresse, Telefonnummer (freiwillig), Personenzahl, gewählte Tische und Zeit, Anmerkung (freiwillig, kann auch Gesundheitsdaten wie Allergien enthalten).
• Betroffene: Gäste des Verantwortlichen.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur nach dokumentierter Weisung des Verantwortlichen. Weisungen ergeben sich aus dieser Vereinbarung und den Einstellungen und Aktionen des Verantwortlichen in der Anwendung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin.

4. Vertraulichkeit

Personen, die für den Auftragsverarbeiter mit den Daten arbeiten, sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (HTTPS)
• Zugriffstrennung: Jeder Betrieb sieht nur seine eigenen Daten (Zeilenschutz in der Datenbank)
• Buchungen laufen über den Server, nicht direkt aus dem Browser in die Datenbank
• Passwörter werden nicht im Klartext gespeichert
• Begrenzung automatisierter Anfragen und Bot-Schutz
• Automatische Löschung von Gästedaten, in der Regel 90 Tage nach dem Reservierungstermin
• Rechenzentrum der Datenbank in der EU (Frankfurt)

6. Unterauftragnehmer

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragnehmer zu:

• Supabase: Datenbank, Anmeldung, Dateispeicher (EU, Frankfurt)
• Vercel: Hosting der Anwendung (Funktionen in Frankfurt)
• Resend: Versand von E-Mails an Gäste
• Cloudflare: Bot-Schutz (nur technische Daten)

Fotos zur Tischerkennung gehen an Anthropic, enthalten aber keine Gästedaten. Über Änderungen bei den Unterauftragnehmern informiert der Auftragsverarbeiter vorab per E-Mail. Der Verantwortliche kann aus wichtigem Grund widersprechen. Der Auftragsverarbeiter verpflichtet Unterauftragnehmer zu einem gleichwertigen Datenschutzniveau. Bei Übermittlungen in die USA gelten Standardvertragsklauseln oder das EU-US Data Privacy Framework.

7. Rechte der Betroffenen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit technischen Mitteln bei Anfragen von Gästen (Auskunft, Berichtigung, Löschung). Anfragen, die bei ihm eingehen, leitet er an den Verantwortlichen weiter. Der Verantwortliche kann Reservierungen selbst stornieren, Gästedaten werden automatisch gelöscht.

8. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er eine Verletzung des Schutzes personenbezogener Daten bemerkt, und unterstützt bei Meldepflichten nach Art. 33 und 34 DSGVO.

9. Löschung und Rückgabe

Nach Ende der Zusammenarbeit löscht der Auftragsverarbeiter die Daten des Verantwortlichen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch stellt er vorher eine Kopie der Reservierungsdaten bereit.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die nötigen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO bereit und ermöglicht Überprüfungen in angemessenem Umfang.

11. Kontakt

Datenschutzfragen: datenschutz@tischerl.at