gemäß Art. 28 DSGVO · Stand: Juni 2026
Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung des Dienstes „servlio". Er gilt zwischen dem Kunden (Restaurantbetreiber, nachfolgend „Verantwortlicher") und Simon Kopp, Zedernweg 45, 76149 Karlsruhe (nachfolgend „Auftragsverarbeiter"). Er wird mit Abschluss des Hauptvertrages automatisch dessen integraler Bestandteil.
(1) Gegenstand ist die Verarbeitung personenbezogener Daten der Gäste des Verantwortlichen durch den Auftragsverarbeiter im Rahmen der Bereitstellung des Dienstes servlio.
(2) Die Dauer entspricht der Laufzeit des Hauptvertrages. Endet dieser, endet auch dieser Vertrag.
(1) Zweck: Bereitstellung digitaler Speisekarten und öffentlich erreichbarer Speisekarten-Seiten, Erfassung von Gäste-Kontaktdaten zur Gästebindung sowie Einholung und Verwaltung von Gäste-Feedback im Auftrag des Verantwortlichen.
(2) Art der Verarbeitung: Erheben, Speichern, Organisieren, Auslesen, Verwenden, Übermitteln (E-Mail-Versand im Auftrag) und Löschen.
(3) Art der Daten:
(4) Kreis der Betroffenen: Gäste und Besucher des Verantwortlichen, die den Dienst nutzen, sowie Besucher der für den Verantwortlichen bereitgestellten Speisekarten-Seiten.
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht gesetzlich zu einer anderweitigen Verarbeitung verpflichtet ist.
(2) Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
(3) Der Auftragsverarbeiter ergreift die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage 1).
(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO.
(5) Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.
(6) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen.
(7) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, falls eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.
(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte der Betroffenen allein verantwortlich.
(2) Er ist insbesondere verantwortlich für das Vorliegen wirksamer Einwilligungen der Gäste, vor allem für den Newsletter-Versand (Double-Opt-In), sowie für die Bereitstellung einer eigenen Datenschutzerklärung gegenüber seinen Gästen.
(3) Weisungen erfolgen grundsätzlich in Textform oder über die im Dienst bereitgestellten Funktionen.
(4) Exportiert der Verantwortliche Gästedaten aus dem Dienst (z. B. als CSV-Datei) und verarbeitet er diese außerhalb des Dienstes weiter, erfolgt diese Weiterverarbeitung außerhalb dieses Vertrages in alleiniger Verantwortung des Verantwortlichen. Der Verantwortliche hat dabei insbesondere sicherzustellen, dass Widerrufe von Einwilligungen und Abmeldewünsche, die nach dem Export eingehen, auch bei der Verarbeitung außerhalb des Dienstes unverzüglich berücksichtigt werden. Der Auftragsverarbeiter übernimmt für exportierte Datenbestände keine Aktualisierungs- oder Synchronisierungspflicht.
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Unterauftragsverarbeiter einzusetzen. Zum Zeitpunkt des Vertragsschlusses sind dies:
(2) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf vergleichbare Datenschutzpflichten.
(3) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Austausch). Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Falle eines berechtigten Widerspruchs steht beiden Parteien ein Sonderkündigungsrecht zu.
Die getroffenen Maßnahmen nach Art. 32 DSGVO sind in Anlage 1 beschrieben und werden bei Bedarf an den Stand der Technik angepasst, ohne das Schutzniveau zu unterschreiten.
Übermittlungen in Drittländer (insbesondere USA) erfolgen ausschließlich auf Grundlage geeigneter Garantien nach Kapitel V DSGVO (EU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln).
Nach Beendigung des Vertrages löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten Gästedaten innerhalb von 30 Tagen oder gibt sie dem Verantwortlichen auf dessen Verlangen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung wird auf Anfrage bestätigt.
(1) Für die Haftung der Parteien im Innenverhältnis gelten die Regelungen des Hauptvertrages (AGB) entsprechend, soweit gesetzlich nichts anderes zwingend vorgeschrieben ist.
(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses Vertrages vor.
(3) Es gilt deutsches Recht.
Vertraulichkeit: Zugriff auf Daten nur für autorisierte Personen; rollenbasierte Zugriffskontrolle (Row Level Security in der Datenbank); Mandantentrennung, sodass jedes Restaurant nur eigene Daten sieht.
Integrität: Verschlüsselte Übertragung (TLS/HTTPS); Verschlüsselung sensibler Daten; serverseitige Validierung aller Eingaben.
Verfügbarkeit: Tägliche automatische Backups durch den Datenbankanbieter; Hosting in georedundanter Cloud-Infrastruktur; Server-Standort Frankfurt (EU).
Belastbarkeit & Wiederherstellung: Möglichkeit der Datenwiederherstellung (Point-in-Time-Recovery); regelmäßige Überwachung der Systeme.
Zugangskontrolle: Authentifizierung über sichere Login-Verfahren; keine Speicherung von Zugangsdaten im Klartext.
Auftragskontrolle: Schriftliche Weisungsbindung; sorgfältige Auswahl der Unterauftragsverarbeiter mit Art.-28-Verträgen.