Vertrag zur Auftragsverarbeitung

1. Gegenstand und Dauer

Dinervio betreibt für den Verantwortlichen dessen Online-Bestellshop und verarbeitet dabei personenbezogene Daten in dessen Auftrag. Der Vertrag gilt für die Dauer des Hauptvertrags.

2. Art der Daten und betroffene Personen

• Betroffene: Gäste und Besteller, Inhaber von Kundenkonten, Reservierende, Empfänger von Gift Cards, Mitarbeitende des Verantwortlichen mit Zugang zur Verwaltung.
• Daten: Name, E-Mail-Adresse, Telefonnummer, Liefer- und Rechnungsadresse, Bestell-, Reservierungs- und Gutscheindaten, Zahlungsstatus (keine Karten- oder Kontodaten – diese verarbeiten die Zahlungsanbieter direkt), Kundenkonto-Daten, Nachrichten und Bewertungsanfragen, technische Zugriffsdaten.
• Zweck: Annahme und Abwicklung von Bestellungen, Reservierungen und Gutscheinen, Kundenkonten, Versand der dazugehörigen E-Mails, Betrieb, Sicherung und Überwachung des Shops.

3. Weisungen

Dinervio verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; der Hauptvertrag und die Einstellungen im Shop gelten als Weisung. Hält Dinervio eine Weisung für rechtswidrig, weist Dinervio den Verantwortlichen unverzüglich darauf hin.

4. Vertraulichkeit

Personen, die bei Dinervio Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

• Betrieb ausschließlich auf Servern in Deutschland (Hetzner Online GmbH, Rechenzentrum Falkenstein)
• Eigene Datenbank je Restaurant; verschlüsselte Übertragung (HTTPS/TLS)
• Passwörter nur als sichere Hashwerte, Zugangsschlüssel von Zahlungsanbietern verschlüsselt gespeichert
• Zwei-Faktor-Anmeldung für die Verwaltungsplattform, Sperre nach Fehlversuchen, Protokollierung von Änderungen
• Nächtliche, mit AES-256 verschlüsselte Datensicherung an einen zweiten Standort in Deutschland; regelmäßige Prüfung der Wiederherstellbarkeit
• Überwachung rund um die Uhr, zeitnahe Sicherheitsupdates
• Zugriff auf Systeme nur durch Dinervio selbst, mit persönlichen Schlüsseln

6. Unterauftragsverarbeiter

Der Verantwortliche ist einverstanden mit:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Server und Datensicherung (Deutschland)
• STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin – E-Mail-Versand, soweit E-Mails über Dinervio versendet werden (Deutschland)

Über neue oder geänderte Unterauftragsverarbeiter informiert Dinervio vorab in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Zahlungsanbieter wie Stripe und PayPal sind keine Unterauftragsverarbeiter von Dinervio – mit ihnen schließt der Verantwortliche eigene Verträge.

7. Unterstützung

Dinervio unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit), bei Datenschutz-Folgenabschätzungen und bei Meldungen an Aufsichtsbehörden. Verletzungen des Schutzes personenbezogener Daten meldet Dinervio unverzüglich nach Bekanntwerden.

8. Löschung und Rückgabe

Nach Vertragsende stellt Dinervio die Daten auf Wunsch innerhalb von 30 Tagen als Export bereit und löscht sie danach, auch in den Datensicherungen spätestens mit deren regulärem Ablauf, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

9. Nachweise und Kontrollen

Dinervio stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen nach angemessener Vorankündigung.

10. Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag den AGB in Datenschutzfragen vor. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.