AUFTRAGSVERARBEITUNGSVEREINBARUNG (AVV)

nach Art. 28 Abs. 3 und Abs. 4 DSGVO

Version: 1.5 Stand: 4. August 2026 Sprache: Deutsch (verbindliche Fassung)

Präambel

(1) Der Auftragsverarbeiter betreibt die cloud-basierte Software-as-a-Service-Lösung „Speisekärtle" (nachfolgend „SaaS-Lösung"), mit der Restaurantbetreiber digitale Speisekarten erstellen, über QR-Codes zur Verfügung stellen und – auf freiwilliger Basis – Gästeanalytics sowie optionale Zusatzfunktionen (z. B. KI-gestützte Übersetzung, Bilderkennung) nutzen können.

(2) Die SaaS-Lösung wird dem Restaurantbetreiber ausschließlich als technischer Dienst zur Verfügung gestellt. Der Auftragsverarbeiter erbringt keine eigenen inhaltsbezogenen Entscheidungen über die Verarbeitung der Restaurant- und Gästedaten, sondern verarbeitet diese Daten weisungsgebunden im Auftrag und im Namen des Restaurantbetreibers.

(3) Damit unterfällt die Verarbeitung von personenbezogenen Daten der Restaurantbetreiber und deren Gästen im Rahmen der SaaS-Lösung dem Regelungsregime des Art. 28 DSGVO: Der Restaurantbetreiber ist Verantwortlicher (Art. 4 Nr. 7 DSGVO) im Verhältnis zu seinen Gästen; der Auftragsverarbeiter handelt als Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO).

(4) Zweck dieser Vereinbarung ist es, die gesetzlichen Vorgaben aus Art. 28 DSGVO sowie die ergänzenden Anforderungen der DSGVO-Standardvertragsklauseln (Verordnung (EU) 2021/914 der Kommission vom 4. Juni 2021), der EuGH-Rechtsprechung in der Rs. C-311/18 („Schrems II") und der hierauf reagierenden Leitlinien der Europäischen Datenschutzbehörden (insb. EDPB-Leitlinien 01/2020 und 07/2020) für die Auftragsverarbeitung verbindlich umzusetzen.

§ 1 Vertragsparteien, Gegenstand, Dauer

Abs. 1 – Parteien

Zwischen

Leon Achtellik, Einzelunternehmer Traifelbergplatz 4, 70597 Stuttgart, Bundesrepublik Deutschland E-Mail: hallo@speisekaertle.app (nachfolgend „Auftragsverarbeiter" oder „Speisekärtle")

— und —

dem jeweiligen Kunden der SaaS-Lösung, dessen Identität und Kontaktdaten sich aus den bei der Registrierung hinterlegten Stammdaten ergeben (Firmierung bzw. Rechtsname, Anschrift, vertretungsberechtigte Person, geschäftliche E-Mail-Adresse, ggf. USt-IdNr.); der Kunde kann diese Daten im Admin-Bereich jederzeit einsehen und aktualisieren (nachfolgend „Verantwortlicher" oder „Kunde")

Abs. 2 – Gegenstand und Anwendungsbereich

(1) Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen der Bereitstellung und Nutzung der SaaS-Lösung „Speisekärtle" für den Verantwortlichen und dessen Gäste im Auftrag verarbeitet (Art. 28 Abs. 3 S. 2 lit. a DSGVO). Maßgeblich ist die in Anlage 1 (Datenarten und Verarbeitungszwecke) enthaltene Beschreibung.

(2) Die Erstellung redaktioneller Blog-Inhalte durch den Auftragsverarbeiter für eigene Zwecke fällt nicht unter diese AVV, da keine personenbezogenen Daten des Verantwortlichen verarbeitet werden. Gleiches gilt für sonstige Eigenverwendungen des Auftragsverarbeiters (z. B. Marketing-Website, öffentliche Demonstration der Software mit synthetischen Daten), soweit dabei keine personenbezogenen Daten des Verantwortlichen, seiner Gäste, Mitarbeiter oder Geschäftspartner verarbeitet werden. Soweit der Auftragsverarbeiter für solche Eigenzwecke KI-Dienstleister einbindet (derzeit: DeepSeek Artificial Intelligence Co., Ltd., VR China, ausschließlich für redaktionelle Blog-Texte ohne Personenbezug), erfolgt dies außerhalb des Anwendungsbereichs dieser Vereinbarung und begründet kein Auftragsverarbeitungsverhältnis; insbesondere ist der eingesetzte Dienstleister nicht Subprozessor im Sinne des § 7 und der Anlage 3.

Abs. 3 – Dauer und Eintritt des AVV-Vertrags

(1) Diese Vereinbarung tritt mit ihrer ausdrücklichen Annahme durch den Verantwortlichen in Kraft – durch Unterzeichnung oder durch den im Rahmen der Registrierung in der SaaS-Lösung erklärten, ausdrücklichen Opt-in – und endet mit der Beendigung des Hauptvertrages (Löschung des Kundenkontos). Die in § 9 (Löschung/Rückgabe) und § 14 (Haftung) geregelten Pflichten überdauern die Beendigung.

(2) Für Kunden, die vor dem 18. Juli 2026 registriert sind, wird diese AVV (Version 1.4) erst durch einen separaten Consent-Workflow im Admin-Bereich der SaaS-Lösung wirksam, der als Double-Opt-In via E-Mail ausgestaltet ist. Eine konkludente Zustimmung durch bloße Inanspruchnahme der Leistung ist ausgeschlossen.

(3) Bis zur ausdrücklichen Zustimmung nach Abs. 2 erfolgt die Verarbeitung personenbezogener Daten des Verantwortlichen ausschließlich, soweit und solange dies zur Erfüllung des Hauptvertrages erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO). Mit Abgabe der ausdrücklichen Zustimmung gilt die vorliegende AVV – einschließlich der Regelungen des Art. 28 DSGVO – im Wege der Genehmigung (§ 184 BGB) rückwirkend ab Beginn der laufenden Vertragsbeziehung als vereinbart, ohne dass hieraus Schadensersatzansprüche für die Zwischenzeit erwachsen.

Abs. 4 – Rechtsgrundlage

Diese Vereinbarung ergänzt die Allgemeinen Geschäftsbedingungen (AGB) sowie die Datenschutzerklärung der SaaS-Lösung und geht im Fall von Widersprüchen bezüglich der datenschutzrechtlichen Pflichten vor.

§ 2 Definitionen

Soweit in dieser Vereinbarung nicht ausdrücklich etwas anderes bestimmt ist, gelten die Definitionen der Art. 4 und 28 DSGVO. Zur Klarstellung und für die Praxis werden nachstehend die zentralen Begriffe verbindlich definiert:

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO). Hierzu gehören insbesondere Name, E-Mail-Adresse, Telefonnummer, IP-Adresse (auch kurzzeitig), Standortdaten, Gerätetyp sowie Online-Kennungen. Bestandsdaten einer juristischen Person (z. B. Restaurant-GmbH) sind keine personenbezogenen Daten, können aber personenbezogene Angaben (z. B. Name des Geschäftsführers) enthalten.
Verarbeitung ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang im Zusammenhang mit personenbezogenen Daten (z. B. Erheben, Erfassen, Organisieren, Speichern, Verändern, Auslesen, Verwenden, Übermitteln, Löschen, Vernichten; Art. 4 Nr. 2 DSGVO).
Betroffene Person ist jede identifizierte oder identifizierbare natürliche Person, deren Daten verarbeitet werden (Art. 4 Nr. 1 DSGVO) – im Rahmen dieser Vereinbarung insbesondere: der Verantwortliche selbst und dessen Mitarbeiter, die Gäste des Restaurants, die Besucher der digitalen Speisekarte sowie die Kontaktpersonen aus Kontaktanfragen.
Verantwortlicher ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Verantwortlicher im Verhältnis zu dessen Gästen ist der Kunde (Restaurantbetreiber).
Auftragsverarbeiter ist die natürliche oder juristische Person, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO). Diese Stellung hat Speisekärtle.
Unterauftragnehmer / weiterer Auftragsverarbeiter ist ein vom Auftragsverarbeiter beauftragter Dienstleister, der personenbezogene Daten im Rahmen der Leistungserbringung verarbeitet (Art. 28 Abs. 2 und 4 DSGVO). Die in Anlage 3 genannten Dienstleister sind Unterauftragnehmer.
Verletzung des Schutzes personenbezogener Daten (Datenpanne) ist eine Sicherheitsverletzung, die zum Verlust, zur unrechtmäßigen Löschung, Veränderung, Offenlegung oder zum unbefugten Zugriff auf Daten führt (Art. 4 Nr. 12 DSGVO).
Drittland ist ein Staat außerhalb des Europäischen Wirtschaftsraums (EWR), in dem die DSGVO nicht unmittelbar gilt (z. B. USA).
TOMs (Technische und organisatorische Maßnahmen) sind die in Anlage 2 im Einzelnen beschriebenen Maßnahmen zur Sicherung personenbezogener Daten nach Art. 32 DSGVO.
Weisung ist jede ausdrückliche – oder im Rahmen des Standard-Weisungskatalogs (Anlage 4) konkludente – Anordnung des Verantwortlichen an den Auftragsverarbeiter über Art, Umfang, Zweck und Mittel der Verarbeitung.

§ 3 Zweckbindung, Art und Umfang der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten des Verantwortlichen ausschließlich im Rahmen der vertraglich vereinbarten Leistungen und nur zu den in Anlage 1 definierten Zwecken (Art. 28 Abs. 3 S. 2 lit. a, 5 DSGVO).

(2) Zweck der Verarbeitung ist insbesondere:

Bereitstellung, Betrieb und technische Wartung der SaaS-Lösung,
Hosting der digitalen Speisekarte(n) des Verantwortlichen,
Abrufbarkeit der Speisekarte über QR-Code / URL,
optionale Funktionen: Gäste-Analytics (nur nach Einwilligung der Gäste), KI-gestützte Übersetzung, OCR-Bilderkennung für Speisekarten-Fotos, KI-gestützte grobe Schätzung von Nährwerten (kcal, Makros) aus Speisekartendaten, Transaktions-E-Mail-Versand,
optionales Reservierungsmanagement (Premium-Paket): Annahme und Verwaltung von Tischreservierungen der Gäste des Verantwortlichen inkl. Bestätigungs-Workflow, Check-in, Tischverwaltung, KI-gestützter Sitzplan-Einrichtung sowie pseudonymisierter No-Show-Kennungen (Hash der Gäste-Kontaktdaten bzw. des Gastnamens, getrennt pro Verantwortlichem),
optionale Gäste-Rückgewinnung (Premium-Paket, nur nach ausdrücklicher Einwilligung des jeweiligen Gastes): Versand von Treue-Angeboten, Rabatten und Updates sowie automatisierte Wiedereinladungs-E-Mails an Gäste des Verantwortlichen im Auftrag des Verantwortlichen (via Resend),
Protokollierung von Gäste-Einwilligungen zum Nachweis nach Art. 7 Abs. 1 DSGVO (Zeitpunkt, Wortlaut, Textversion; pseudonymisierte IP und Browser-Kennung),
Vertragsabwicklung, Abrechnung und Support.

(3) Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters (insbesondere für Marketing, Produktentwicklung mit Personenbezug, Datenhandel) ist ausdrücklich untersagt. Eine anonymisierte oder aggregierte Auswertung zu rein statistischen Zwecken ohne Personenbeziehbarkeit (z. B. „Anzahl aktiver Mandanten", „Speisekarten pro Monat") bleibt zulässig.

(4) Art und Umfang, Datenkategorien, betroffene Personen und die Verarbeitungsdauer ergeben sich abschließend aus Anlage 1.

§ 4 Weisungsbefugnis

Abs. 1 – Grundsatz der Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, eine Verarbeitung ist durch das anwendbare Unionsrecht oder Mitgliedsstaatliche Recht vorgeschrieben (Art. 28 Abs. 3 S. 2 lit. a DSGVO). Die Standard-Weisungen ergeben sich aus Anlage 4 (Muster-Weisungskatalog).

(2) Weisungen können erteilt werden durch:

Konfiguration im Admin-Bereich der SaaS-Lösung. Konkludente Weisungen durch Konfiguration sind nur im Rahmen der standardmäßigen Plattform-Funktionalität zulässig; für Sonderverarbeitungen (z. B. Datenexport über das Standardmaß hinaus, Custom-Reports, bulk-Verarbeitung) bedarf es einer ausdrücklichen Weisung in Textform.
ausdrückliche E-Mail an hallo@speisekaertle.app,
sonstige Textform (z. B. Support-Ticket).

Abs. 2 – Rechtswidrige Weisungen

Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Einschätzung gegen Art. 28 Abs. 3 DSGVO oder sonstige datenschutzrechtliche Bestimmungen verstößt (Art. 28 Abs. 3 S. 2 lit. a, Halbs. 2 DSGVO). Der Auftragsverarbeiter ist berechtigt, die Durchführung der beanstandeten Weisung bis zur Klärung auszusetzen. Eine Pflicht zum Tätigwerden aufgrund einer offensichtlich rechtswidrigen Weisung besteht nicht.

Abs. 3 – Dokumentation von Weisungen

Weisungen und ihre Durchführung werden vom Auftragsverarbeiter für die Dauer der Verarbeitung sowie für die Dauer der gesetzlichen Aufbewahrungsfristen protokolliert. Der Verantwortliche kann diese Protokolle auf Anfrage einsehen.

§ 5 Vertraulichkeit

Abs. 1 – Verschwiegenheitspflicht

(1) Der Auftragsverarbeiter stellt sicher, dass alle Personen, die im Rahmen dieser Vereinbarung Zugang zu personenbezogenen Daten des Verantwortlichen erhalten (insbesondere Mitarbeiter, freie Mitarbeiter, Admins, Subunternehmer-Personal), der in Art. 28 Abs. 3 S. 2 lit. b, Art. 29 und Art. 32 Abs. 4 DSGVO geregelten Vertraulichkeitspflicht unterliegen.

(2) Die Verschwiegenheitspflicht besteht über das Ende der Tätigkeit hinaus und kann nur durch eine ausdrückliche, schriftliche Freistellung des Verantwortlichen aufgehoben werden.

Abs. 2 – Need-to-Know-Prinzip

Zugang zu personenbezogenen Daten erhalten ausschließlich Personen, die ihn zur Aufgabenerfüllung benötigen. Berechtigungsprofile werden dokumentiert und regelmäßig (mindestens jährlich) überprüft (vgl. Anlage 2, Ziffer 2).

Abs. 3 – Sonderpflichten

Der Auftragsverarbeiter hat besondere Schulungs- und Sensibilisierungsmaßnahmen für seine Mitarbeiter zu den Themen DSGVO, Informationssicherheit und Betriebsgeheimnis durchzuführen und diese nachzuweisen.

§ 6 Sicherheit der Verarbeitung (TOMs)

(1) Der Auftragsverarbeiter implementiert und unterhält angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, die ein dem Risiko angemessenes Schutzniveau gewährleisten (Stand der Technik, Implementierungskosten, Art, Umfang, Zweck und Wahrscheinlichkeit/Eintrittswahrscheinlichkeit eines Risikos).

(2) Die TOMs sind detailliert in Anlage 2 nach Maßgabe des § 9 BDSG und des Anhangs zu § 9 BDSG aufgeführt und umfassen insbesondere:

Betretens-, Zutritts- und Zugangskontrolle,
Zugriffskontrolle und Identifikation/Authentifizierung,
Datenträgerkontrolle, Übertragungskontrolle, Eingabekontrolle,
Auftragskontrolle, Verfügbarkeitskontrolle, Trennung,
Integrität und Inhaltskontrolle.

(3) Der Auftragsverarbeiter passt die TOMs dem jeweiligen Stand der Technik an. Wesentliche Verschlechterungen des Schutzniveaus gegenüber Anlage 2 darf der Auftragsverarbeiter nur nach vorheriger Information des Verantwortlichen (4 Wochen Vorlauf) und unter Wahrung der Anforderungen des Art. 32 DSGVO vornehmen. Verbesserungen der TOMs kann der Auftragsverarbeiter jederzeit vornehmen; er informiert den Verantwortlichen über wesentliche Verbesserungen auf Anfrage.

§ 7 Unterauftragsverhältnisse (Subprozessoren)

Abs. 1 – Zulässigkeit; benannte Unterauftragnehmer

(1) Der Auftragsverarbeiter darf Unterauftragnehmer (weitere Auftragsverarbeiter i. S. v. Art. 28 Abs. 2 und Abs. 4 DSGVO) einsetzen. Die aktuell beauftragten Unterauftragnehmer sind in Anlage 3 abschließend aufgeführt und umfassen insbesondere: Vercel Inc., Supabase Inc., Stripe Inc., Resend Inc., OpenAI LP, Google Ireland Ltd., Cal.com Inc., ImprovMX.

(2) Mit jedem Unterauftragnehmer schließt der Auftragsverarbeiter eine AVV ab, die den Anforderungen des Art. 28 Abs. 2–4 DSGVO sowie – bei Drittlandsbezug – des Art. 44 ff. DSGVO entspricht.

Abs. 2 – Information und Widerspruchsrecht bei Änderungen

(1) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Erstmaligeinbindung oder Austausch eines Unterauftragnehmers unter Benennung von Name, Sitz, Leistung, Drittlandbezug und TOMs, sodass der Verantwortliche vorab widersprechen kann (Art. 28 Abs. 2 DSGVO).

(2) Die Information erfolgt in Textform (E-Mail), mit einer Frist von mindestens vier Wochen vor Einbindung. Eine kurze Information erfolgt zusätzlich im Admin-Bereich der SaaS-Lösung. Das in Anlage 3 dieser Vereinbarung hinterlegte Verzeichnis (öffentlich einsehbar unter https://speisekaertle.app/avv) gilt als verbindliches Verzeichnis.

(3) Der Verantwortliche kann der Einbindung eines Unterauftragnehmers aus wichtigem Grund widersprechen, insbesondere bei konkret nachgewiesenem Verstoß gegen datenschutzrechtliche Vorgaben oder bei objektiv unzureichendem Schutzniveau im Drittland. Der Widerspruch ist innerhalb von vier Wochen nach Information schriftlich zu erheben und zu begründen. Im Übrigen bleibt das außerordentliche Kündigungsrecht der Parteien unberührt. Über das Vorliegen eines wichtigen Grundes trägt im Streitfall der Auftragsverarbeiter die Darlegungs- und Beweislast dafür, dass die Einbindung des Unterauftragnehmers datenschutzrechtlich unbedenklich ist.

Abs. 3 – Verschulden des Unterauftragnehmers

Der Auftragsverarbeiter haftet dem Verantwortlichen für ein Verschulden des Unterauftragnehmers wie für eigenes Verschulden (Art. 28 Abs. 4 DSGVO), vorbehaltlich § 14 dieser Vereinbarung.

§ 8 Drittlandübermittlungen und Schrems-II-konforme Ausgestaltung

Abs. 1 – Grundsatz

Soweit personenbezogene Daten an Unterauftragnehmer mit Sitz außerhalb des EWR (Drittland) übermittelt werden, erfolgt die Übermittlung nur, soweit und sobald die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die konkrete Ausgestaltung ergibt sich aus Anlage 3 sowie dem Transfer Impact Assessment in Anlage 5.

Abs. 2 – EU-US Data Privacy Framework (DPF)

Für Unterauftragnehmer mit Sitz in den USA, die unter das EU-US Data Privacy Framework fallen und aktiv zertifiziert sind (Stand 18. Juli 2026: Vercel Inc., Stripe Inc., OpenAI LP), beruht die Übermittlung auf Art. 46 Abs. 2 lit. c DSGVO i.V.m. Angemessenheitsbeschluss (EU) 2023/1795 der Europäischen Kommission. Der Auftragsverarbeiter prüft die aktuelle Zertifizierung mindestens jährlich und dokumentiert das Ergebnis.

Abs. 3 – Ergänzende Maßnahmen (Schrems II)

Unbeschadet des DPF setzt der Auftragsverarbeiter ergänzende Maßnahmen („supplementary measures") um, soweit dies nach einer Fall-be-Fall-Bewertung (Transfer Impact Assessment nach EDPB-Leitlinien 01/2020, dokumentiert in Anlage 5) erforderlich ist. Hierzu gehören insbesondere:

starke Verschlüsselung personenbezogener Daten bei Übertragung (TLS 1.3) und in Ruhe (AES-256),
Pseudonymisierung / Anonymisierung von Daten, soweit möglich,
Datenminimierung auf das für die Leistung zwingend erforderliche Maß,
ausschließliche Verarbeitung auf Servern in der EU, soweit vertraglich mit dem Unterauftragnehmer vereinbart (z. B. Supabase eu-north-1, Stockholm),
Klärung von US-Cloud-Act-/FISA-/EO-12333-Exposition im Rahmen der jeweiligen Unterauftrags-AVVs.

Abs. 4 – Standardvertragsklauseln

Soweit nicht der DPF-Angemessenheitsbeschluss anwendbar ist (insb. für Resend Inc., USA, sowie für Unsplash Inc., USA), schließt der Auftragsverarbeiter mit dem Unterauftragnehmer die Standardvertragsklauseln der Verordnung (EU) 2021/914 (Modul 2: Übermittlung an Unterauftragsverarbeiter, ggf. Modul 3) ab und ergänzt diese durch die vorstehend in Abs. 3 genannten Maßnahmen.

Abs. 5 – Review und Fortschreibung

Der Auftragsverarbeiter überwacht laufend die Entwicklungen der Rechtslage (insb. Validität des DPF, EDPB-Empfehlungen, US-Regulierungsänderungen) und passt die Übermittlungsgrundlagen sowie das Transfer Impact Assessment nach Anlage 5 bei wesentlichen Änderungen an. Wesentliche Änderungen teilt er dem Verantwortlichen nach § 7 Abs. 2 mit.

§ 9 Beendigung, Löschung und Rückgabe

Abs. 1 – Löschungspflicht

(1) Nach Beendigung des Hauptvertrages – insbesondere durch Kündigung oder Löschung des Kundenkontos – löscht der Auftragsverarbeiter alle im Rahmen dieser Vereinbarung verarbeiteten personenbezogenen Daten des Verantwortlichen und dessen Gäste, die nicht mehr für die vereinbarte Verarbeitung erforderlich sind (Art. 28 Abs. 3 S. 2 lit. g, Art. 17 DSGVO). Die Löschung erfolgt vollständig, unwiderruflich und unter Beachtung des Stands der Technik.

(2) Ausgenommen von der Löschung bleiben – beschränkt auf das jeweils zwingend erforderliche Maß – Daten, die einer gesetzlichen Aufbewahrungs- oder Dokumentationspflicht unterliegen, insbesondere:

Buchhaltungsrelevante Belege und Vertragsdaten nach § 147 Abgabenordnung (AO) (10 Jahre) und § 257 HGB (6 Jahre),
Consent-Nachweise (Einwilligungs- und Widerspruchserklärungen) für die Dauer der Verjährungs- und Nachweispflicht (Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO; 3 Jahre ab Jahresende der Verarbeitung),
Vertrags- und Abrechnungskorrespondenz für die Dauer der handels- und steuerrechtlichen Aufbewahrungsfristen.

(3) Soweit Daten nach Abs. 2 aufbewahrt werden, werden sie anonymisiert oder pseudonymisiert, sobald dies ohne Aufbewahrungspflicht-Verstoß möglich ist. Eine sonstige Verarbeitung dieser Rest-Daten (z. B. für Marketing) ist untersagt.

Abs. 2 – Rückgabe

Eine Datenrückgabe an den Verantwortlichen (Export) ist während der Vertragslaufzeit über die Admin-Funktion (JSON-/CSV-Export der Speisekartendaten) möglich. Nach Vertragsende erfolgt – sofern nicht ausdrücklich innerhalb von 14 Tagen nach Beendigung verlangt – keine separate Rückgabe, sondern die Löschung nach Abs. 1.

Abs. 3 – Löschprotokoll (Löschzertifikat)

Der Auftragsverarbeiter erstellt automatisch, ohne dass es einer gesonderten Anforderung bedarf, binnen sechs Wochen nach Beendigung des Hauptvertrages ein Löschprotokoll (Löschzertifikat), das Art, Umfang und Zeitpunkt der Löschung bzw. der Anonymisierung sowie die bestehenden gesetzlichen Aufbewahrungsfristen dokumentiert. Das Löschprotokoll wird dem Verantwortlichen in Textform (in der Regel per E-Mail an die hinterlegte Kontaktadresse oder als Download im Admin-Bereich) übermittelt und vom Auftragsverarbeiter für die Dauer der gesetzlichen Aufbewahrungsfristen aufbewahrt.

§ 10 Auskunfts- und Unterstützungspflichten, Betroffenenrechte

Abs. 1 – Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Maßgabe des Art. 28 Abs. 3 S. 2 lit. e DSGVO bei der Erfüllung von Anträgen betroffener Personen, insbesondere:

Auskunft (Art. 15 DSGVO),
Berichtigung (Art. 16 DSGVO),
Löschung (Art. 17 DSGVO),
Einschränkung der Verarbeitung (Art. 18 DSGVO),
Datenübertragbarkeit (Art. 20 DSGVO),
Widerspruch (Art. 21 DSGVO) sowie
Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO).

Abs. 2 – Form und Frist

Support-Leistungen nach Abs. 1 werden auf Anforderung des Verantwortlichen in Textform erbracht, i. d. R. innerhalb von 5 Werktagen; in dringenden Fällen (z. B. behördliche Frist) unverzüglich.

Abs. 3 – Kosten

Einfache Auskunfts- und Unterstützungspflichten sind im regulären SaaS-Preis enthalten. Übermäßig aufwendige Auskünfte können nach vorheriger Ankündigung und nur soweit gesetzlich zulässig (Art. 12 Abs. 5 DSGVO) angemessen in Rechnung gestellt werden.

§ 11 Meldepflicht bei Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter informiert den Verantwortlichen über jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betreffen, ohne ungerechtfertigte Verzögerung i. S. v. Art. 33 Abs. 1 DSGVO, spätestens jedoch binnen 48 Stunden nach Kenntniserlangung (Art. 28 Abs. 3 S. 2 lit. d, Art. 33 DSGVO).

(2) Die Information enthält – soweit zum Meldezeitpunkt bekannt – mindestens:

Art der Verletzung,
Art und Umfang der betroffenen personenbezogenen Daten,
wahrscheinliche Folgen,
ergriffene oder vorgeschlagene Maßnahmen zur Schadensbegrenzung,
Name und Kontaktdaten der Ansprechpartner.

(3) Der Auftragsverarbeiter dokumentiert die Verletzung und die Maßnahmen. Eine Meldung an die Aufsichtsbehörde oder die betroffenen Personen obliegt dem Verantwortlichen; der Auftragsverarbeiter unterstützt ihn insoweit.

(4) Ist die 48-Stunden-Frist aus objektiven Gründen nicht einhaltbar (z. B. weil die betroffenen Datenbestände erst forensisch ermittelt werden müssen), erfolgt eine Erstmeldung innerhalb der Frist mit den zu diesem Zeitpunkt verfügbaren Informationen und eine Folgemeldung bei Vorliegen weiterer Erkenntnisse („phased reporting" gemäß Erwägungsgrund 87 DSGVO und Art. 33 Abs. 4 DSGVO).

§ 12 Datenschutz-Folgenabschätzung (DPIA) und vorherige Konsultation

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO sowie bei der vorherigen Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO, soweit dies in Bezug auf die SaaS-Lösung erforderlich ist (Art. 28 Abs. 3 S. 2 lit. f DSGVO).

(2) Die Unterstützung umfasst insbesondere die Bereitstellung aller relevanten Informationen über die Verarbeitung, über die eingesetzten TOMs und über die eingeschalteten Unterauftragnehmer.

(3) Die Parteien sind sich einig, dass der Regelfall der Nutzung von Speisekärtle (Hosting einer digitalen Speisekarte, optionales Gäste-Analytics nur nach Opt-in) in der Regel keine DPIA-Pflicht auslöst. Eine DPIA kann indes erforderlich werden, wenn der Verantwortliche besondere Funktionen wie großflächiges Gäste-Tracking, systematische Bewertungen oder profilbasierte Automatisierungsentscheidungen (Art. 22 DSGVO) nutzt.

§ 13 Auskunfts- und Prüfungsrechte des Verantwortlichen (Audits)

Abs. 1 – Ordentliches Audit-Recht

(1) Der Verantwortliche ist berechtigt, die Einhaltung der Pflichten des Auftragsverarbeiters zu prüfen (Art. 28 Abs. 3 S. 2 lit. h DSGVO).

(2) Die ordentliche Prüfung erfolgt

höchstens einmal jährlich,
mit einer Vorankündigung von mindestens 14 Tagen,
im Wege eines Remote-Audits (z. B. via Video-Call, Fragebogen, Screensharing, Einblick in Zertifikate, TOM-Beschreibungen).

(3) Ein Vor-Ort-Audit im Rahmen eines ordentlichen Audits findet nur statt, wenn

das Remote-Audit konkrete und begründete Anhaltspunkte für einen Verstoß ergeben hat und
das Vor-Ort-Audit zur Aufklärung erforderlich ist.

Abs. 2 – Außerordentliches Audit

Bei Verdacht auf eine Störung der Verarbeitung oder nach einer Verletzung des Schutzes personenbezogener Daten (Datenpanne) ist ein außerordentliches Audit ohne Fristbindung möglich; es kann sowohl als Remote-Audit als auch – sofern zur Aufklärung erforderlich – als Vor-Ort-Audit durchgeführt werden. Der Verdacht ist substantiiert (Art, Zeitpunkt, betroffene Daten) zu begründen. Das außerordentliche Audit erstreckt sich auf diejenigen Bereiche, die für die Aufklärung des Verdachts relevant sind; darüber hinausgehende Prüfungen richten sich nach Abs. 1.

Abs. 3 – Zertifikate und Gutachten

Der Auftragsverarbeiter kann Audits insoweit ersetzen, als er dem Verantwortlichen branchenübliche Zertifikate, Gutachten oder Prüfergebnisse Dritter (z. B. ISO/IEC 27001, SOC 2 Type II, Cloud-Anbieter-Zertifikate) vorlegt, die die Einhaltung der in Anlage 2 genannten TOMs dokumentieren. Zertifikate Dritter können ein Audit jedoch nicht vollständig ersetzen, wenn ein begründeter Verdacht i. S. v. Abs. 2 besteht.

Abs. 4 – Auftragskontrolle

Der Auftragsverarbeiter dokumentiert die Beauftragung von Unterauftragnehmern und macht diese Dokumentation dem Verantwortlichen auf Anfrage zugänglich.

Abs. 5 – Kosten

Soweit ein Audit keine Pflichtverletzung ergibt, trägt der Verantwortliche die angemessenen Kosten des Audits. Erweist sich eine Pflichtverletzung, trägt sie der Auftragsverarbeiter.

Abs. 6 – Aufsichtsbehörde / beauftragter Prüfer

Der Verantwortliche kann Audits durch eine unabhängige, nach § 38 BDSG benannte Prüferstelle oder durch die zuständige Aufsichtsbehörde vornehmen lassen; die Abs. 1 bis 5 gelten entsprechend. Der Auftragsverarbeiter kann verlangen, dass der Prüfer eine angemessene Vertraulichkeitsvereinbarung abschließt.

§ 14 Haftung

(1) Die Parteien haften nach den Vorschriften der Art. 82 DSGVO sowie nach den gesetzlichen Regelungen des BGB und des BDSG.

(2) Der Auftragsverarbeiter haftet dem Verantwortlichen für Schäden, die infolge einer Verletzung der in dieser Vereinbarung geregelten Pflichten und der ihm nach Art. 28, 32, 33, 36 DSGVO obliegenden Verpflichtungen entstehen, nur insoweit, als ihm, seinen gesetzlichen Vertretern, leitenden Angestellten oder sonstigen Erfüllungsgehilfen Vorsatz oder leichte Fahrlässigkeit – bezogen auf die Verletzung vertragswesentlicher Pflichten (Kardinalpflichten) – bzw. grobe Fahrlässigkeit oder Vorsatz bei sonstigen Pflichten nachgewiesen werden.

(3) Im Fall leichter Fahrlässigkeit bei der Verletzung nicht vertragswesentlicher Pflichten ist die Haftung ausgeschlossen.

(4) Im Übrigen gilt Art. 82 DSGVO; eine Haftungsbeschränkung gegenüber dem Verantwortlichen erfolgt nicht. Satz 1 steht einer etwaigen Abwälzung nach Art. 82 Abs. 4 und Abs. 5 DSGVO im Innenverhältnis nicht entgegen.

(5) Eine Abwälzung von Schadensersatzansprüchen betroffener Personen (Art. 82 DSGVO) auf den Verantwortlichen ist ausgeschlossen, soweit der Auftragsverarbeiter für die schädigende Verarbeitung allein oder überwiegend verantwortlich ist.

(6) Die vorgenannten Haftungsregelungen gelten nicht, soweit der Auftragsverarbeiter Daten pflichtwidrig für eigene Zwecke verarbeitet oder Dritten unbefugt offenbart.

§ 15 Beendigung des Hauptvertrages; Übergangsregelungen

(1) Mit Beendigung des Hauptvertrages gelten die §§ 9 (Löschung) und 14 (Haftung) entsprechend fort.

(2) Die Verpflichtung zur Löschung nach § 9 wird innerhalb von sechs Wochen nach Beendigung umgesetzt, soweit gesetzliche Aufbewahrungsfristen nicht entgegenstehen.

§ 16 Schlussbestimmungen

Abs. 1 – Schriftform, Änderungen

(1) Diese Vereinbarung bedarf der Textform (§ 126b BGB). Änderungen und Ergänzungen bedürfen zu ihrer Wirksamkeit ebenfalls der Textform. Dies gilt auch für eine Abänderung dieser Schriftformklausel.

(2) Mündliche Nebenabreden bestehen nicht. Die vom Verantwortlichen bei Registrierung akzeptierten AGB der SaaS-Lösung bleiben unberührt.

Abs. 2 – Salvatorische Klausel

Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise unwirksam, undurchführbar oder nicht durchsetzbar sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt; Entsprechendes gilt für Lücken.

Abs. 3 – Anlagen

Untrennbarer Bestandteil dieser Vereinbarung sind:

Anlage 1 – Datenarten und Verarbeitungszwecke
Anlage 2 – Technische und organisatorische Maßnahmen (TOMs)
Anlage 3 – Unterauftragnehmer (Subprozessoren) mit Drittlandsvermerken
Anlage 4 – Muster-Weisungskatalog
Anlage 5 – Transfer Impact Assessment (TIA) für US-Subprozessoren

Im Fall von Widersprüchen zwischen dem Haupttext und einer Anlage geht der Haupttext vor, es sei denn, die Anlage regelt eine Konkretisierung, die den Haupttext ergänzt.

Abs. 4 – Rechtswahl und Gerichtsstand

(1) Es gilt ausschließlich deutsches Recht unter Ausschluss des UN-Kaufrechts (CISG) und der Kollisionsnormen des EGBGB.

(2) Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dieser Vereinbarung ist Stuttgart (Landgericht Stuttgart bzw. Amtsgericht Stuttgart nach Zuständigkeit), sofern der Verantwortlicher Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist oder keinen allgemeinen Gerichtsstand im Inland hat. Für Verbraucher im Sinne des § 13 BGB bleibt der gesetzliche Gerichtsstand unberührt.

Abs. 5 – Datenschutzbeauftragter; Ansprechpartner

(1) Die Parteien benennen verpflichtend einen Ansprechpartner für Datenschutzfragen (Datenschutzbeauftragten oder eine entsprechend verantwortliche Person). Fehlt eine solche Benennung, gilt die gesetzliche Vertretung als Empfangsbevollmächtigte.

(2) Benannt werden:

Auftragsverarbeiter: Leon Achtellik, Einzelunternehmer, Traifelbergplatz 4, 70597 Stuttgart, E-Mail: hallo@speisekaertle.app (Datenschutzbeauftragter des Auftragsverarbeiters).
Verantwortlicher: die bei der Registrierung benannte vertretungsberechtigte Person des Kunden. Hat der Kunde gesondert einen Datenschutzbeauftragten bestellt (Art. 37 DSGVO), sind dessen Kontaktdaten zusätzlich im Admin-Bereich zu hinterlegen.

(3) Änderungen der Kontaktdaten nach Abs. 2 sind der jeweils anderen Seite unverzüglich mitzuteilen.

Abs. 6 – Änderungen der Anlagen

Anlage 2 (TOMs) und Anlage 3 (Subprozessoren) können vom Auftragsverarbeiter fortgeschrieben werden; Anlage 3 unterliegt § 7 Abs. 2 (Information und Widerspruchsrecht). Anlage 2 darf nur geändert werden, ohne dass das vereinbarte Schutzniveau unter dasjenige der vorherigen Fassung sinkt. Anlage 5 (TIA) wird bei wesentlichen Änderungen der Subprozessor-Landschaft oder der Rechtslage fortgeschrieben.

Unterschriftszeile

Ort, Datum: ______________________________

Für den Auftragsverarbeiter (Speisekärtle):

Leon Achtellik, Einzelunternehmer

Unterschrift

Name (Druck), Funktion

Für den Verantwortlichen (Kunde):

Unterschrift

Name (Druck), Funktion

Anlage 1: Datenarten und Verarbeitungszwecke

(gemäß Art. 28 Abs. 3 S. 2 lit. a und lit. c DSGVO)

1. Übersicht der Datenkategorien

Nr.	Datenkategorie	Konkrete Datenfelder	Betroffene Personen	Verarbeitungszweck	Rechtsgrundlage (Verantwortlicher)	Speicherdauer
1	Bestandsdaten Restaurant	Firmenname, Rechtsform, Adresse, Telefon, Website, Impressum-Angaben, Logo, USt-IdNr., optional Geburtsdatum des Ansprechpartners (ausschließlich interne Kundenpflege/CRM, freiwillig)	Mitarbeiter, Geschäftsführer des Restaurants; ggf. Gäste bei Impressum	Bereitstellung der digitalen Speisekarte, Vertragsabwicklung, interne Kundenpflege	Art. 6 Abs. 1 lit. b und lit. f DSGVO	Bis Beendigung + 6 Jahre (HGB) / 10 Jahre (AO); Geburtsdatum bis Beendigung + 30 Tage
2	Nutzungskonto / Admin-Benutzer	Name, E-Mail, Passwort-Hash, Rolle, MFA-Secret	Ansprechpartner des Restaurants	Zugang, Administration, Support	Art. 6 Abs. 1 lit. b, f DSGVO	Bis Konto-Löschung
3	Speise- und Kategoriedaten	Gerichte, Beschreibungen, Preise, Allergene, Zusatzstoffe, Bilder, Übersetzungen	(keine direkten, evtl. Personenbezug in Autoren-Feldern)	Anzeige der Speisekarte	Art. 6 Abs. 1 lit. b DSGVO	Bis Konto-Löschung
4	Buchungs-/Vertragsdaten	Name, Rechnungsadresse, E-Mail, Zahlungsmethode (Token), Beträge, Rechnungsnummern, Buchungszeitpunkte	Ansprechpartner des Restaurants	Vertragsabwicklung, Rechnungsstellung, Zahlung über Stripe	Art. 6 Abs. 1 lit. b DSGVO; § 147 AO, § 257 HGB	10 Jahre (AO) / 6 Jahre (HGB)
5	Kontaktanfragen	Name, E-Mail, Telefon, Nachricht, IP (kurzzeitig)	Anfragende Person	Beantwortung, Vertragsanbahnung	Art. 6 Abs. 1 lit. b, f, a DSGVO	6 Monate bis 2 Jahre je nach Anlass
6	Gäste-Analytics (nur nach Opt-in)	Pseudonyme Session-ID, Gerätetyp, Sprache, Verweildauer, besuchte Seiten, Referrer, Klicks	Gäste des Restaurants	Reichweitenanalyse, Optimierung der Speisekarte	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung via Cookie-Banner)	Bis Widerruf, max. 14 Monate
7	KI-Verarbeitung (Übersetzung, OCR, Nährwert-Schätzung)	Übermittelte Speisekartendaten (Gerichte, Beschreibungen, Preise, Allergene), Fotos; keine Gästedaten	(keine direkten, personenbezogen nur bei Autoren-Feldern)	Übersetzung in verschiedene Sprachen, OCR-Erkennung von Speisekartenfotos, grobe Schätzung von Nährwerten (kcal, Makros) aus Speisekartendaten	Art. 6 Abs. 1 lit. b, f DSGVO	Resultat wird gespeichert, Eingabe nach Verarbeitung gelöscht
8	Technische Metadaten	IP-Adresse (kurzzeitig zur Auslieferung und Sicherheit), User-Agent, Server-Logs, Fehler-Logs	Gäste, Admin-Benutzer	IT-Betrieb, Sicherheit, Missbrauchsbekämpfung	Art. 6 Abs. 1 lit. f DSGVO	7–30 Tage (Logs), IP nach Session nicht persistiert
9	Einwilligungs- und Consent-Nachweise	Zeitstempel, Art und exakter Wortlaut der Einwilligung, Textversion, Sprache, pseudonymisierte IP-Adresse (gepfefferter Hash, HMAC-SHA-256), Browser-Kennung (User-Agent)	Gäste, anfragende Personen	Nachweis nach Art. 7 Abs. 1 DSGVO	Art. 6 Abs. 1 lit. a DSGVO; Art. 7 Abs. 1 DSGVO	IP-Hash/User-Agent: 90 Tage; übrige Nachweisdaten: 3 Jahre ab Jahresende (Verjährungsfrist)
10	Reservierungsdaten (Premium-Paket)	Name des Gastes, E-Mail und/oder Telefon, Datum/Uhrzeit, Personenzahl, Anmerkung, Tischwahl, Status (bestätigt/storniert/Check-in/Nicht-Erscheinen), Buchungskanal	Gäste des Restaurants	Entgegennahme und Verwaltung von Tischreservierungen im Auftrag, Benachrichtigungs-E-Mails (via Resend), Tischzuordnung, Auswertungen in aggregierter Form	Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Reservierungsvereinbarung); optionale Bewertungsanfrage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, Nachweis siehe Nr. 9)	Anonymisierung von Name/Kontakt/Anmerkung 90 Tage nach dem Termin; anonymisierte Buchungsdaten zu Statistikzwecken
11	No-Show-Kennungen (pseudonym)	SHA-256-Hash der E-Mail-Adresse, der Telefonnummer bzw. des normalisierten Gastnamens, Anzahl ausgebliebener Termine, Zeitpunkt des letzten Nicht-Erscheinens — getrennt pro Verantwortlichem, keine Weitergabe zwischen Verantwortlichen	Gäste des Restaurants, die nach bestätigter Reservierung nicht erschienen sind	Schutz des Verantwortlichen vor wiederholtem Nicht-Erscheinen (Hinweis an den Verantwortlichen bei erneuter Anfrage; keine automatische Ablehnung; Namensgleichheit wird ausschließlich als ausdrücklich unsicherer Hinweis angezeigt)	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Verantwortlichen)	24 Monate nach letzter Reservierung (automatische Löschung); früher bei Widerspruch (Art. 21 DSGVO)
12	Gäste-Marketing-Kontakte (Premium-Paket, nur nach Einwilligung)	Name und E-Mail-Adresse des Gastes, Zeitpunkt des letzten Besuchs, Zeitpunkt der letzten Werbe-E-Mail	Gäste des Restaurants, die bei einer Reservierung ausdrücklich in den Empfang von Treue-Angeboten eingewilligt haben	Versand von Treue-Angeboten, Rabatten und Updates sowie automatisierte Wiedereinladung von Gästen, die länger nicht reserviert haben, im Auftrag des Verantwortlichen (via Resend); Abmelde-Link in jeder E-Mail	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung des Gastes, Nachweis siehe Nr. 9); § 7 Abs. 2 Nr. 2 UWG	Bis Widerruf der Einwilligung (dann Löschung), spätestens 3 Jahre nach letzter Reservierung (automatische Löschung)

2. Ausdrücklich nicht gespeicherte Daten

IP-Adressen in der Gäste-Analytics (nicht persistiert; nur kurzzeitig zur Auslieferung in den Server-Logs).
Kreditkartennummern / Zahlungsdaten: ausschließlich über Stripe-Token, niemals im Speisekärtle-System.
Gesundheit, Religion, sexuelle Orientierung und andere besondere Kategorien nach Art. 9 DSGVO – werden bewusst nicht erhoben. Allergene fallen nicht unter Art. 9 DSGVO, da sie sich auf Speisen und nicht auf die Gesundheit der Gäste beziehen.

3. Verarbeitung für eigene Zwecke des Auftragsverarbeiters

(1) Zulässig sind ausschließlich anonymisierte oder aggregierte Auswertungen ohne Personenbeziehbarkeit (z. B. „Gesamtanzahl aktiver Restaurants", „Durchschnittliche Anzahl Speisen pro Karte"). Eine anderweitige Verarbeitung für eigene Zwecke ist ausgeschlossen.

(2) Die Erstellung redaktioneller Blog-Inhalte und sonstige Eigenverwendungen gemäß § 1 Abs. 2 dieser Vereinbarung sind keine Auftragsverarbeitung im Sinne dieser AVV.

Anlage 2: Technische und organisatorische Maßnahmen (TOMs)

(gemäß Art. 32 DSGVO, § 9 BDSG sowie Anhang zu § 9 BDSG)

Stand: 18. Juli 2026. Die TOMs werden mindestens jährlich überprüft und dem Stand der Technik angepasst.

1. Betretens- und Zutrittskontrolle (physischer Zugang)

Maßnahme	Umsetzung bei Speisekärtle
Zugangskontrolle zu Räumen mit IT-Systemen	Geschäftsraum des Auftragsverarbeiters (Homeoffice mit verschlussgesichertem Arbeitsraum, festplattenverschlüsseltes Endgerät, keine Ausdrucke mit personenbezogenen Daten). Physischer Server-Zugang besteht nicht beim Auftragsverarbeiter, sondern ist weitgehend an die Cloud-Provider delegiert (Vercel, Supabase, Google); deren eigene physische Infrastruktur (Rechenzentren, Zutrittskontrolle, Videoüberwachung, Badging, Wachen) ist in den jeweiligen AVVs der Cloud-Provider dokumentiert und unterliegt Zertifizierungen (ISO/IEC 27001, SOC 2).
Zutrittsprotokollierung	Lokal: Verschluss des Arbeitsraums; Cloud-seitig durch Cloud-Provider.
Aufbewahrung Datenträger	Verschlusssafe / verschlossener Schrank für lokale Backups und Hardware-Token.

Hinweis: Physische TOMs sind weitgehend an die Cloud-Provider delegiert; die eigene physische Infrastruktur der Subprozessoren ist in deren eigenen AVVs und Zertifikaten dokumentiert und wird vom Auftragsverarbeiter im Rahmen der Auftragskontrolle (§ 13 Abs. 4) überprüft.

2. Zugangskontrolle (logischer Zugang zu IT-Systemen)

Maßnahme	Umsetzung
Identifikation und Authentifizierung	Eindeutige Benutzerkennung je Mitarbeiter/Admin.
Passwortpolitik	Mindestens 12 Zeichen, Groß-/Kleinbuchstaben, Ziffern, Sonderzeichen; Passwort-Manager (Standard-Tool).
Multifaktor-Authentifizierung (MFA)	Verpflichtend für alle administrativen Konten (TOTP oder Hardware-Key).
Sperrung	Automatische Sperrung nach 5 fehlgeschlagenen Versuchen; automatische Inaktivitätssperre (15 min).
Berechtigungsentzug	Bei Beendigung des Beschäftigungsverhältnisses unverzüglich; halbjährliche Berechtigungsreview.
Secret Management	API-Keys, Secrets und Passwörter in gesichertem Vault (Supabase Vault / 1Password), niemals im Klartext im Code oder Repository.

3. Zugriffskontrolle (Datenschutz im System)

Maßnahme	Umsetzung
Role-Based Access Control (RBAC)	Mandantenfähiges System mit klar getrennten Rollen (Owner, Admin, Staff, Gast); Schema-basierte Berechtigung.
Row-Level-Security (RLS)	Auf Datenbank-Ebene (Supabase Postgres RLS) wird durchgesetzt, dass ein Restaurant nur auf eigene Daten zugreifen kann. Cross-Mandant-Zugriff technisch unterbunden.
Mandantentrennung	Strikte logische Trennung pro Restaurant (mandant_id-Pflicht auf jeder Tabelle).
Least Privilege	Prinzip der minimalen Rechtevergabe für jeden Mitarbeiter.

4. Datenträgerkontrolle

Maßnahme	Umsetzung
Verschlüsselung von Datenträgern	AES-256 für ruhende Daten beim Cloud-Provider; lokale Festplatten mit BitLocker/FileVault (Full-Disk-Encryption, aktiv).
Sichere Löschung	Datenbank-Deletes nach Soft-Delete (mit TTL) bzw. Hard-Delete nach Aufbewahrungsfrist; physische Datenträger: zertifizierte Löschsoftware.
Backup-Management	Verschlüsselte, mandantengetrennte Backups; mindestens täglich. Aufbewahrungsfrist 14–30 Tage.

5. Übertragungskontrolle

Maßnahme	Umsetzung
TLS 1.3	Pflicht für alle Verbindungen (Client-Server, Service-Service).
HSTS	Aktiviert; Preload-Liste.
Zertifikate	Vollständig via Vercel / Let's Encrypt, Auto-Renewal.
Inter-Service-Verschlüsselung	mTLS / TLS zwischen den Backend-Komponenten.
Integritätssicherung	Prüfsummen (SHA-256) für kritische Datenübertragungen.

6. Eingabekontrolle

Maßnahme	Umsetzung
Protokollierung	change_log in der Datenbank: Wer hat was, wann, wie geändert?
Schutz vor Manipulation	Log-Append-only; Logs in separatem Storage-Bucket mit Schreibschutz.
Input-Validierung	Serverseitige Validierung, Schemata (Zod), Schutz gegen SQL-Injection (Prepared Statements / ORM), XSS, CSRF, Rate-Limiting.

7. Auftragskontrolle

Maßnahme	Umsetzung
AVV mit jedem Unterauftragnehmer	Siehe Anlage 3 und § 7.
Auswahl und Prüfung	Auswahlkriterien: Datenschutz, Sicherheit, TOMs, Zertifikate; jährliches Review.
Unterauftragsverzeichnis	Aktuelle Liste in Anlage 3 dieser Vereinbarung (öffentlich einsehbar unter https://speisekaertle.app/avv).

8. Verfügbarkeitskontrolle

Maßnahme	Umsetzung
Hosting-Region	EU: Supabase eu-north-1 (Stockholm); Vercel Edge (global, aber TLS-geschützt, keine Persistierung).
Backups	Täglich, verschlüsselt, mandantengetrennt. Restore-Test mindestens halbjährlich.
Uptime-Monitoring	externes Monitoring; Alerting bei Ausfällen.
Business Continuity	Disaster-Recovery-Plan; definierte Recovery-Time-Objective (RTO) ≤ 24 h, Recovery-Point-Objective (RPO) ≤ 24 h.
Incident Response	Definiertes IR-Verfahren; dokumentiertes Vorgehen bei Sicherheitsvorfällen.

9. Trennung (Daten- und Mandantentrennung)

Maßnahme	Umsetzung
Mandantentrennung	Strikt über mandant_id + RLS auf Datenbankebene.
Datenkategorien-Trennung	Getrennte Storage-Buckets (z. B. für Blog-Workflow vs. Kunden-Workflow).
Produktions-/Testumgebungen	Getrennte Staging- und Produktions-Instanzen; keine produktiven Daten in Tests.

10. Integrität und Inhaltskontrolle

Maßnahme	Umsetzung
Schutz vor Malware	Cloud-Provider-seitig (DDoS, WAF); lokaler Virenschutz auf Endgeräten.
Security Headers	CSP, X-Frame-Options (Frame-Ancestors-Beschränkung), X-Content-Type-Options, Referrer-Policy.
Penetration Tests	Bei wesentlichen Releases; angemeldete Tests.
Dependency Management	Regelmäßige Überprüfung auf Schwachstellen (npm audit, Dependabot).
Code Review	Pflicht für jede Code-Änderung; 4-Augen-Prinzip.

11. Pseudonymisierung und Datenminimierung

Maßnahme	Umsetzung
Gäste-Analytics	Keine Persistierung der IP-Adresse; pseudonyme Session-ID; Consent-gebunden.
Datenminimierung	Für jeden Verarbeitungszweck wird nur das zwingend erforderliche Datenfeld erhoben.
Anonymisierung	Bei Löschung nach Vertragsende werden verbleibende Sätze pseudonymisiert/anonymisiert (§ 9).

12. Privacy by Design / by Default

Default-Einstellungen der SaaS-Lösung sind datenschutzfreundlich (z. B. Gäste-Analytics standardmäßig aus).
Cookie-Banner nur aktiv, wenn Gäste-Analytics tatsächlich genutzt wird.
QR-Code-URLs sind nicht ratenbar (kryptische IDs), aber nicht extra zugriffsgeschützt (öffentliche Speisekarte).

Anlage 3: Unterauftragnehmer (Subprozessoren)

(gemäß Art. 28 Abs. 2 DSGVO; Stand 18. Juli 2026)

Die Auflistung wird in dieser Anlage 3 (öffentlich einsehbar unter https://speisekaertle.app/avv) aktuell gehalten. Wesentliche Änderungen werden nach § 7 Abs. 2 angekündigt.

A. Übersichtstabelle

Nr.	Dienstleister	Sitz / Verarbeitungsort	Leistungszweck	Drittland-Status	Rechtsgrundlage für Übermittlung
1	Vercel Inc.	340 S Lemon Ave #4133, Walnut, CA 91789, USA; Verarbeitung global via Edge-Netzwerk	Hosting, Edge-CDN, Web-Analytics (cookieless, gekoppelt an Consent)	USA – Drittland	EU-US DPF (Vercel zertifiziert) nach Art. 46 Abs. 2 lit. c DSGVO i.V.m. Angemessenheitsbeschluss (EU) 2023/1795; ergänzende Maßnahmen: TLS 1.3, Datenminimierung
2	Supabase Inc.	Sitz: USA; Verarbeitung: eu-north-1 (Stockholm, Schweden)	Datenbank (Postgres), Authentifizierung, Storage	Verarbeitung im EWR; Gesellschaft in USA	Keine Drittlandübermittlung der Daten (Hosting EU); etwaiger Support-Zugriff USA via DPF + SCC
3	Stripe Inc.	Sitz USA; Stripe Payments Europe Ltd., Irland (Vertragspartner in EU)	Zahlungsabwicklung, Tokenisierung	USA – Drittland (Unternehmensdaten); Zahlungsdaten verbleiben PCI-DSS-konform bei Stripe	EU-US DPF (Stripe zertifiziert) nach Art. 46 Abs. 2 lit. c DSGVO i.V.m. Angemessenheitsbeschluss (EU) 2023/1795; PCI-DSS Level 1
4	Resend Inc.	USA	E-Mail-Versand (Lifecycle, Transaktionsmails)	USA – Drittland	SCC 2021/914 Modul 2; ergänzende Maßnahmen: TLS 1.3, minimierter Content (nur notwendige Felder), Prüfung DPF
5	OpenAI LP	USA	KI: Speisekarten-Übersetzung, Nährwert-Schätzung, OCR-Vision (GPT-4.1)	USA – Drittland	EU-US DPF (OpenAI zertifiziert) nach Art. 46 Abs. 2 lit. c DSGVO i.V.m. Angemessenheitsbeschluss (EU) 2023/1795; ergänzende Maßnahmen: nur Speisekartendaten, keine Gäste-Daten; Datenminimierung; API-Vertrag mit no-training-Klausel (Zero Data Retention)
6	Google Ireland Ltd.	Gordon House, Barrow Street, Dublin 4, Irland; Verarbeitung in EU	Google Gemini (KI-Extraktion, OCR), Google Cloud Vision, Google Places API	EU – kein Drittland (Verantwortlicher bei Google Ireland); konzerninterner Transfer USA möglich	Hauptverarbeitung in EU; konzerninterne SCC + DPF für konzerninternen Transfer USA
7	Cal.com Inc.	548 Market St, San Francisco, CA 94104, USA	Terminbuchungs-Widget für Beratungstermine (eingebettet auf der Registrierungsseite); verarbeitet Name, E-Mail-Adresse, ggf. Telefonnummer und Terminzeit von Interessenten	USA – Drittland	EU-US DPF (Cal.com zertifiziert) nach Art. 46 Abs. 2 lit. c DSGVO i.V.m. Angemessenheitsbeschluss (EU) 2023/1795; ergänzende Maßnahmen: TLS 1.3, Datenminimierung (keine Gäste-Daten)
8	ImprovMX	Verarbeitung: Frankreich (OVH-Rechenzentrum, EU)	Mail-Forwarding/Empfang eingehender E-Mails an die Domain (z. B. Tageskarten-Eingänge, allgemeine Anfragen); Weiterleitung an den Auftragsverarbeiter	EU – kein Drittland	Keine Drittlandübermittlung; Verarbeitung im EWR (Frankreich)

Hinweis: Die Erstellung redaktioneller Blog-Inhalte des Auftragsverarbeiters für eigene Zwecke (§ 1 Abs. 2) fällt nicht unter diese AVV. Soweit der Auftragsverarbeiter hierfür KI-Dienstleister einsetzt (derzeit DeepSeek, VR China), erfolgt dies außerhalb des Anwendungsbereichs dieser Vereinbarung und ohne Verarbeitung personenbezogener Daten des Verantwortlichen; der eingesetzte Dienstleister ist nicht Subprozessor im Sinne dieser Anlage.

B. Widerspruchsrecht

Der Verantwortliche kann der Einbindung oder dem Austausch eines Unterauftragnehmers nach § 7 Abs. 2 widersprechen. Die Frist beträgt vier Wochen ab Information.

C. Drittland-Transferdokumentation

Für jeden Drittlands-Transfer führt der Auftragsverarbeiter eine Dokumentation mit:

Name und Sitz des Empfängers,
Datenkategorien und Zweck,
Rechtsgrundlage (DPF / SCC / Angemessenheitsbeschluss),
ergänzende Maßnahmen,
Datum des letzten Transfer Impact Assessments.

Diese Dokumentation wird dem Verantwortlichen auf Anfrage im Rahmen von § 13 (Audits) zur Verfügung gestellt. Eine zusammenfassende Gesamtbewertung enthält Anlage 5 (TIA).

Anlage 4: Muster-Weisungskatalog

(gemäß § 4 dieser Vereinbarung; nicht abschließend)

1. Standard-Weisungen (konkludent durch Vertragsschluss)

Mit Abschluss des Hauptvertrages und der Einrichtung des Kundenkontos erteilt der Verantwortliche folgende Standard-Weisungen. Diese umfassen ausschließlich die standardmäßige Plattform-Funktionalität; für Sonderverarbeitungen (z. B. Datenexport über das Standardmaß hinaus, Custom-Reports, bulk-Verarbeitung) bedarf es einer ausdrücklichen Weisung nach § 4 Abs. 1 S. 2:

Nr.	Weisung	Konkretisierung
1.1	Bereitstellung der digitalen Speisekarte	Speisen, Kategorien, Preise, Allergene, Bilder, Übersetzungen werden gemäß Eingaben im Admin-Bereich gehostet und über QR-Code / URL erreichbar gemacht.
1.2	Gästeseitige Darstellung	Gäste können die Speisekarte ohne Login einsehen; Sprache wird automatisch erkannt.
1.3	Pflege der Daten	Verantwortlicher kann Daten jederzeit ändern, ergänzen, löschen; Änderungen werden in Echtzeit übernommen.
1.4	Erstellung von Übersetzungen	Optional: Verantwortlicher kann Übersetzungen durch OpenAI erzeugen; Weisung erfolgt durch Klick im Admin-Bereich.
1.5	OCR aus Foto	Optional: Verantwortlicher kann ein Speisekartenfoto hochladen, das per OpenAI Vision oder Google Gemini verarbeitet wird.
1.6	Gäste-Analytics	Optional und standardmäßig deaktiviert; nur nach aktivem Opt-in des Verantwortlichen und Vorliegen eines Cookie-Banners.
1.7	Transaktions-E-Mails	Bestätigungs-E-Mails, Passwort-Reset etc. werden via Resend verschickt.
1.8	Zahlungsverkehr	Bei kostenpflichtigen Abos erfolgt die Zahlungsabwicklung über Stripe; Speisekärtle erhält nur Token.
1.9	Support-Kontakt	Kontaktanfragen werden an den Auftragsverarbeiter weitergeleitet und zur Bearbeitung gespeichert.
1.10	Löschung nach Vertragsende	Mit Kontolöschung werden alle Daten nach § 9 gelöscht/anonymisiert.

2. Individuelle / Sonder-Weisungen

(1) Individuelle Weisungen können durch E-Mail an hallo@speisekaertle.app oder Support-Ticket erteilt werden. Sie werden vom Auftragsverarbeiter bestätigt und dokumentiert.

(2) Sonderverarbeitungen (z. B. über den Standard hinausgehender Datenexport, Custom-Reports, bulk-Verarbeitung, Migrationen) bedürfen einer ausdrücklichen Weisung in Textform und werden vom Auftragsverarbeiter vor Durchführung auf datenschutzrechtliche Zulässigkeit geprüft.

3. Unzulässige Weisungen

Unzulässig und vom Auftragsverarbeiter zurückzuweisen sind insbesondere Weisungen, die:

eine Verarbeitung ohne Rechtsgrundlage verlangen,
die Rechte betroffener Personen verletzen würden,
gegen gesetzliche Aufbewahrungs- oder Löschungspflichten verstoßen,
eine Verarbeitung für nicht vereinbarte Zwecke vorsehen,
eine Übermittlung an nicht autorisierte Dritte vorsehen.

4. Notfall-Weisungen

Im Notfall (z. B. behördliche Anordnung, Datenpanne) kann der Verantwortliche Eil-Weisungen auch per E-Mail an hallo@speisekaertle.app mit der Kennzeichnung „EILT – Weisung" im Betreff erteilen; Eil-Weisungen in dieser Form stehen Weisungen in Textform gleich und werden vorrangig bearbeitet.

Anlage 5: Transfer Impact Assessment (TIA)

für US-Subprozessoren (Vercel, Stripe, OpenAI, Resend, Cal.com)

(gemäß EDPB Recommendations 01/2020 vom 10.11.2020 sowie EuGH, Rs. C-311/18 „Schrems II"; Stand 4. August 2026)

1. Zielsetzung und Rechtsrahmen

(1) Diese Anlage dokumentiert die nach der Rs. C-311/18 des EuGH („Schrems II") sowie den EDPB-Empfehlungen 01/2020 erforderliche Fall-be-Fall-Bewertung (Transfer Impact Assessment, „TIA") für Übermittlungen personenbezogener Daten an die in Anlage 3 genannten Subprozessoren mit Sitz in den USA.

(2) Zweck des TIA ist es, festzustellen, ob das im Drittland bestehende Schutzniveau praktisch so wirkt, dass die übermittelten Daten dort ein im Wesentlichen gleichwertiges Schutzniveau genießen wie in der EU/EWR (vgl. EDPB Recommendation 01/2020, Schritt 4).

2. Schritt 1: Kenntnis der Übermittlung

Subprozessor	Sitz	Datenkategorien	Zweck	Übermittlungsgrundlage
Vercel Inc.	USA (Walnut, CA)	IP (kurzzeitig), technische Metadaten, ggf. Speisekartendaten bei Edge-Caching (keine Gäste-Personendaten)	Hosting, CDN	Art. 46 Abs. 2 lit. c DSGVO i.V.m. DPF-Beschluss (EU) 2023/1795
Stripe Inc.	USA (Unternehmensdaten); Zahlungsverarbeitung ggf. EU/Irland	Vertrags-/Rechnungsdaten des Verantwortlichen, Token	Zahlungsabwicklung	Art. 46 Abs. 2 lit. c DSGVO i.V.m. DPF-Beschluss (EU) 2023/1795; PCI-DSS L1
OpenAI LP	USA (San Francisco, CA)	Speisekartendaten (Übersetzung, Nährwert-Schätzung, OCR); keine Gäste-Personendaten	Übersetzung, OCR, Nährwert-Schätzung	Art. 46 Abs. 2 lit. c DSGVO i.V.m. DPF-Beschluss (EU) 2023/1795
Resend Inc.	USA (San Francisco, CA)	E-Mail-Inhalt, E-Mail-Adresse, Transaktionsdaten	E-Mail-Versand	SCC 2021/914 Modul 2 (DPF-Status wird geprüft)
Cal.com Inc.	USA (San Francisco, CA)	Name, E-Mail-Adresse, ggf. Telefonnummer und Terminzeit von Interessenten	Terminbuchungs-Widget	Art. 46 Abs. 2 lit. c DSGVO i.V.m. DPF-Beschluss (EU) 2023/1795

3. Schritt 2: Anwendbarkeit des DPF

(1) Die USA haben mit dem Angemessenheitsbeschluss (EU) 2023/1795 („EU-US Data Privacy Framework", DPF) ein neues Angemessenheitsregime geschaffen, das die Schwächen des früheren Privacy Shield adressiert.

(2) Stand Juli 2026 sind Vercel Inc., Stripe Inc., OpenAI LP und Cal.com Inc. im DPF-Ledger aktiv zertifiziert. Für diese Übermittlungen beruht die Angemessenheit auf dem DPF-Beschluss.

(3) Für Resend Inc. (keine oder nicht abschließend geprüfte Zertifizierung) werden die Standardvertragsklauseln 2021/914 Modul 2 verwendet. Für Cal.com Inc. gilt der DPF-Beschluss, da das Unternehmen im DPF-Ledger aktiv zertifiziert ist.

4. Schritt 3: Drittlandsrechtliche Prüfung (US-Überwachungsrecht)

4.1 Relevante US-Gesetze

(1) Die aus EU-Sicht kritischen US-Überwachungsnormen sind weiterhin:

FISA Section 702 (Auslandsüberwachung nicht-US-Personen),
EO 12333 (Tätigkeiten des US-Auslandsgeheimdienstes),
EO 14086 vom 7. Oktober 2022 (Maßnahmen der Biden-Administration zur Stärkung von Datenschutz und Rechtsbehelfen),
CLOUD Act (Zugriff auf Daten bei US-Anbietern),
Section 215 USA PATRIOT Act (Sitzung Business Records).

(2) Der DPF-Beschluss der EU-Kommission stellt fest, dass diese Normen durch EO 14086 sowie die neuen JUSTICE-Department-Verfahren und das Data Protection Review Court (DPRC) so beschränkt sind, dass die Angemessenheit gewahrt ist. Die EU-Bürger erhalten einen einklagbaren Rechtsbehelf vor dem DPRC.

4.2 Bewertung

(1) Für DPF-zertifizierte Subprozessoren (Vercel, Stripe, OpenAI) folgt die Angemessenheit aus dem DPF-Beschluss und EO 14086. Die Erforderlichkeit ergänzender Maßnahmen ist nach Schrems II reduziert, jedoch nicht entfallen.

(2) Für nicht-DPF-zertifizierte Subprozessoren (Resend) bleiben die Standardvertragsklauseln allein unzureichend; zwingende ergänzende Maßnahmen sind erforderlich (siehe Schritt 4).

5. Schritt 4: Ergänzende Maßnahmen (Supplementary Measures)

Der Auftragsverarbeiter setzt – gestaffelt nach Risiko und Datenart – folgende ergänzende Maßnahmen um:

5.1 Technische Maßnahmen

Maßnahme	Vercel	Stripe	OpenAI	Resend	Cal.com
TLS 1.3 in Transit	x	x	x	x	x
AES-256 at Rest	x	x	x	x	x
Datenminimierung: keine Gäste-Personendaten; nur Speise-/Vertragsdaten	x	x	x	(Mail-Inhalt minimiert)	x
Pseudonymisierung / Tokenisierung (Stripe-Token statt PAN)	–	x	–	–	–
Hosting EU (soweit technisch möglich; z. B. Supabase eu-north-1)	Edge global ohne Persistenz	–	–	–	–
No-Training-Klausel vertraglich (KI-Anbieter)	–	–	x	–	–
Aufbewahrungsminimierung (TTL für Logs, IP nach Session gelöscht)	x	x	x	x	x

5.2 Organisatorische / vertragliche Maßnahmen

Abschluss von AVV nach Art. 28 Abs. 4 DSGVO mit jedem US-Subprozessor,
Einsicht in die aktuellen DPF-Zertifikate (mindestens jährlich),
Transparenz über den Verwendungszweck (keine heimliche Weiterverarbeitung),
klare Meldepflicht bei US-Behördenanfragen (Notification Clause in den SCC),
Widerspruch gegen unverhältnismäßige Behördenanfragen (Challenge Clause),
Möglichkeit der Datenrückholung oder Löschung im Fall eines Verdachts.

6. Schritt 5: Verfahrensrechtliche Schutzmaßnahmen (Rechtsbehelfe)

(1) Für DPF-zertifizierte Subprozessoren steht betroffenen Personen der Rechtsbehelf über das Data Protection Review Court (DPRC) nach EO 14086 offen. Die Unabhängigkeit des DPRC wurde durch den Angemessenheitsbeschluss (EU) 2023/1795 ausdrücklich anerkannt.

(2) Für nicht-DPF-zertifizierte Subprozessoren ist der Zugriff auf US-Gerichte / IPEC (International Privacy Protection Enhanced Coordination) im Rahmen der SCC geltend zu machen.

7. Schritt 6: Schlussbewertung und Risikoergebnis

7.1 Gesamtbewertung

(1) Für die DPF-zertifizierten Subprozessoren Vercel, Stripe, OpenAI und Cal.com ergibt das TIA ein niedriges Restrisiko, das durch die Kombination aus DPF-Beschluss, EO 14086, DPRC und den ergänzenden technischen Maßnahmen (insbesondere Verschlüsselung, Datenminimierung, No-Training-Klausel) auf ein dem EU-Niveau gleichwertiges Schutzniveau reduziert wird.

(2) Für Resend ergibt das TIA ein mittleres Restrisiko, das durch starke Verschlüsselung, strikte Inhaltsminimierung (nur zwingend notwendige Felder) und die SCC 2021/914 Modul 2 mit ergänzenden Klauseln sowie die jährliche Prüfung auf DPF-Zertifizierung auf ein vertretbares Maß reduziert wird. Der Auftragsverarbeiter prüft die kurzfristige Migration auf eine EU-Hosting-Alternative für Transaktions-E-Mails.

(3) Für die in der EU verarbeitenden Subprozessoren (Supabase mit Datenstandort Schweden, Google Ireland, ImprovMX mit Verarbeitung in Frankreich) besteht kein Drittlandtransfer der inhaltsbezogenen Daten; ein etwaiger konzerninterner Support-Zugriff aus den USA (Supabase, Google) ist über DPF/SCC abgesichert.

7.2 Empfehlung

Das TIA kommt zu dem Ergebnis, dass die Übermittlungen an die genannten US-Subprozessoren unter den vorstehend dokumentierten Maßnahmen datenschutzrechtlich vertretbar sind und ein im Wesentlichen gleichwertiges Schutzniveau gewährleisten (Art. 46 Abs. 2 lit. c DSGVO bzw. Art. 46 Abs. 2 lit. c i.V.m. SCC 2021/914).

7.3 Review

(1) Dieses TIA wird mindestens einmal jährlich sowie bei wesentlichen Änderungen (z. B. DPF-Verlust eines Subprozessors, neue US-Gesetze, EDPB-Empfehlungen, EuGH-Rechtsprechung) fortgeschrieben.

(2) Stellt sich im Review heraus, dass ein angemessenes Schutzniveau nicht mehr gewährleistet ist, ergreift der Auftragsverarbeiter unverzüglich Maßnahmen – bis hin zur Unterbrechung der Übermittlung, zum Wechsel des Subprozessors oder zur Information des Verantwortlichen nach § 7 Abs. 2 – und dokumentiert dies.

Ende der Auftragsverarbeitungsvereinbarung

Version 1.5 – Stand 4. August 2026

Kontakt für Fragen zum Datenschutz und zu dieser AVV: Leon Achtellik, hallo@speisekaertle.app, Traifelbergplatz 4, 70597 Stuttgart

Stand: 04.08.2026 · Version avv-2026-08-04 · Verbindliche Fassung zum Download: AVV-Speisekaertle.md