Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung nach Art. 28 DSGVO (AVV) ist integraler Bestandteil der Allgemeinen Geschäftsbedingungen zwischen dem jeweiligen Gastronomiebetrieb als Verantwortlichem („Kunde") und Argjend Syla als Auftragsverarbeiter („Anbieter"). Sie regelt die Verarbeitung personenbezogener Daten, die der Anbieter im Rahmen des Betriebs von La Carta im Auftrag des Kunden durchführt. Die Dauer entspricht der Laufzeit des Hauptvertrags.

Zweck der Verarbeitung ist die Bereitstellung der digitalen Speisekarte und die Abwicklung von Bestellungen des Kunden — einschließlich Anzeige der Karte, Entgegennahme und Weiterleitung von Bestellungen an Küche und Service, Versand von Bestell-E-Mails sowie Verwaltung von Team-Zugängen.

Kategorien betroffener Personen: Gäste und Besteller des Kunden sowie Mitarbeiter des Kunden.

Kategorien personenbezogener Daten: Bestelldaten (bestellte Artikel, Anmerkungen, Tisch, Zeitpunkt, Beträge), Kontaktdaten von Bestellern (Name, Telefonnummer, E-Mail-Adresse, Lieferadresse) sowie Konto- und Rollendaten von Mitarbeitern (Name, E-Mail-Adresse, Rolle, Anmeldezeitpunkte). Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung.

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden (die Nutzung der Software gilt als Weisung), verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit, ergreift die technischen und organisatorischen Maßnahmen nach Abschnitt 5, unterstützt den Kunden im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen und bei den Pflichten aus Art. 32–36 DSGVO und meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich. Nach Beendigung des Hauptvertrags werden die im Auftrag verarbeiteten Daten gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Anbieter vorab; der Kunde kann aus wichtigem Grund widersprechen. Bei Verarbeitung außerhalb der EU bestehen geeignete Garantien nach Kapitel V DSGVO:

• Vercel Inc. — Hosting der Anwendung, Auslieferung der Webseiten, Server-Logs. Standort: USA (Serverregion Frankfurt, EU). Garantie: EU-Standardvertragsklauseln / EU-US Data Privacy Framework.
• Supabase, Inc. — Datenbank, Authentifizierung, Datei-Speicher, Echtzeit-Übertragung. Standort: EU-Rechenzentrum (gemäß Projektkonfiguration). Garantie: Auftragsverarbeitungsvertrag, EU-Standardvertragsklauseln.
• Stripe Payments Europe, Ltd. — Zahlungsabwicklung der La-Carta-Abonnements (nur Restaurant-Kunden, keine Gästezahlungen). Standort: Irland (EU). Garantie: Auftragsverarbeitungsvertrag, EU-Standardvertragsklauseln.
• Resend (Plus Five Five, Inc.) — Versand von Transaktions-E-Mails (z. B. Bestellbestätigungen). Standort: USA. Garantie: EU-Standardvertragsklauseln.
• DeepL SE — Automatische Übersetzung von Speisekarten-Inhalten (keine personenbezogenen Daten). Standort: Deutschland (EU). Garantie: Auftragsverarbeitungsvertrag.
• Apple Inc. / Google LLC — Zustellung von Push-Benachrichtigungen an Personal-Geräte (APNs / Firebase Cloud Messaging). Standort: USA. Garantie: EU-Standardvertragsklauseln / EU-US Data Privacy Framework.

Der Anbieter trifft dem Stand der Technik entsprechende Maßnahmen, insbesondere: Verschlüsselung der Datenübertragung (TLS), verschlüsselte Speicherung von Zugangsdaten, mandantengetrennte Datenhaltung mit Zugriffskontrolle auf Datenbankebene (Row-Level-Security), rollenbasierte Berechtigungen im Produkt, Protokollierung sicherheitsrelevanter Vorgänge, regelmäßige Sicherungen durch die eingesetzten Cloud-Anbieter sowie das Prinzip der Datenminimierung (Tischbestellungen ohne Angabe persönlicher Daten).

Der Kunde kann sich vor Beginn und während der Verarbeitung von der Einhaltung dieser Vereinbarung überzeugen — in der Regel durch Einholung von Selbstauskünften oder geeigneten Nachweisen der eingesetzten Unterauftragsverarbeiter. Vor-Ort-Kontrollen erfolgen nach angemessener Vorankündigung während üblicher Geschäftszeiten.

Bei Widersprüchen zwischen dieser AVV und den AGB geht diese AVV in datenschutzrechtlichen Fragen vor. Im Übrigen gelten die Schlussbestimmungen der AGB.