Vereinbarung zur Auftragsverarbeitung

Parteien und Geltungsbereich

Diese Vereinbarung (Art. 28 DSGVO) gilt zwischen Ihnen, dem Betrieb, als Verantwortlichem und Ospitera als Auftragsverarbeiter. Sie ist Teil der Nutzungsbedingungen und gilt, solange wir personenbezogene Daten für Sie verarbeiten. Version 2026-11-05.

Was wir verarbeiten

Gegenstand und Zweck: Annahme, Anzeige, Druck und Auslieferung der Bestellungen Ihrer Gäste, Versand der von Ihnen eingeschalteten SMS und der zugehörige Support.

Betroffene Personen: Ihre Gäste und Ihr eigenes Personal, das den Admin und die Personaltafel nutzt.

Personenbezogene Daten: Name, Telefonnummer, Lieferadresse, Anmerkungen und Bestellinhalt der Gäste; Benutzernamen des Personals; technische Daten wie IP-Adressen (nur als verschlüsselte Hashes gespeichert).

Dauer: Lieferadresse und Anmerkungen werden 24 Stunden nach Abschluss einer Bestellung gelöscht, Telefonnummer und Nachname nach 72 Stunden, und nicht abgeschlossene Bestellungen verlieren sie nach 7 Tagen. Bestellinhalte und Beträge bleiben für die Buchhaltung des Betriebs, bis er oder der Dienst endet.

Unsere Pflichten

Dokumentierte Weisungen: Wir verarbeiten Ihre personenbezogenen Daten nur für die Zwecke und nach den Weisungen in dieser Vereinbarung, den Einstellungen, die Sie in Ihrem Admin wählen, und späteren Weisungen Ihrer berechtigten Ansprechpartner, auch zu Übermittlungen ins Ausland. Verlangt ein Gesetz der EU oder eines Mitgliedstaats eine andere Verarbeitung, sagen wir es Ihnen vorher, sofern dieses Gesetz es nicht verbietet. Halten wir eine Weisung für datenschutzwidrig, sagen wir es Ihnen umgehend und setzen diese Weisung aus, bis wir uns über das Vorgehen einig sind.

Alle bei Ospitera mit Zugriff sind zur Vertraulichkeit verpflichtet.

Wir halten angemessene Sicherheitsmaßnahmen ein, darunter: Verschlüsselung bei der Übertragung, Verschlüsselung der Kontaktdaten der Gäste und der Zahlungszugangsdaten im Ruhezustand, gehashte Passwörter und PINs, Zugriff je Betrieb beschränkt, Anfragebegrenzung, Protokollierung sensibler Vorgänge, automatische Löschung wie oben und Datenbank-Sicherungen.

Unterstützung: Unter Berücksichtigung der Verarbeitung und der uns vorliegenden Informationen helfen wir Ihnen bei Anträgen von Gästen auf Ausübung ihrer Rechte, bei der Sicherheit, bei der Bewertung und Meldung von Verletzungen, bei Folgenabschätzungen und bei Konsultationen mit Behörden. Ihr Admin enthält ein Werkzeug, um die Daten eines Gastes zu exportieren oder zu löschen; für alles andere schreiben Sie an den Support. Anfragen zu Ihrer Verarbeitung leiten wir umgehend an Sie weiter und beantworten sie nicht selbst, außer das Recht verlangt es, und wir geben Ihnen die uns vernünftigerweise vorliegenden Informationen rechtzeitig für Ihre Fristen.

Wir melden Ihnen eine Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, unverzüglich und innerhalb von 48 Stunden nach Kenntnis, mit den Informationen, die Sie für Ihre eigenen Pflichten brauchen.

Ende des Dienstes: Neue Bestellungen enden am Enddatum. 30 Tage danach können Sie sich noch anmelden und exportieren (Bedingungen 9.4); am Tag 30 löschen wir die personenbezogenen Daten, die wir für Sie halten (Bestellungen, Gästedaten, Personal- und Inhaberkonten, Speisekarte und die Kontaktdaten in Ihren Einstellungen), sofern Sie keine frühere Löschung verlangen. Datenbank-Sicherungen laufen nach dem Wiederherstellungsplan unseres Datenbankanbieters ab und werden nie im normalen Betrieb verwendet; wird je eine wiederhergestellt, werden die Löschungen erneut angewendet. Wir behalten nur, was das Recht von uns verlangt: unsere Rechnungen an Sie und den Nachweis Ihrer Annahme der Bedingungen.

Nachweis und Prüfungen: Wir geben Ihnen die Informationen, die vernünftigerweise nötig sind, um die Einhaltung dieser Vereinbarung nachzuweisen, und ermöglichen Prüfungen einschließlich Inspektionen durch Sie oder einen von Ihnen beauftragten unabhängigen Prüfer und wirken daran mit, nach angemessener Ankündigung und unter Vertraulichkeit. Routineprüfungen können zusammengelegt werden, um Doppelungen zu vermeiden; weitere Prüfungen sind nach einem wesentlichen Vorfall, einer wesentlichen Änderung der Verarbeitung, begründeten Anzeichen für Verstöße oder auf Verlangen einer Aufsichtsbehörde immer möglich.

Getrennte Rollen: Wir sind Ihr Auftragsverarbeiter für die Bestellungen Ihrer Gäste und für die Personalkonten, die Sie verwalten. Für unsere Kundenbeziehung mit Ihnen, die Abrechnung, die Sicherheit unserer eigenen Plattform und Rechtsansprüche sind wir eigener Verantwortlicher, wie in unserer Datenschutzerklärung (/legal/privacy) beschrieben. Keine der Rollen erlaubt uns, Gästedaten für Werbung, sachfremde Profilbildung oder das Training von KI-Modellen zu verwenden.

Unterauftragsverarbeiter

Sie genehmigen die unter /legal/subprocessors aufgeführten Unterauftragsverarbeiter. Wir erlegen ihnen dieselben Datenschutzpflichten auf und bleiben für sie verantwortlich.

Neue Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher in Ihrem Admin an. Sie können aus vernünftigen Gründen widersprechen; können wir das nicht lösen, dürfen Sie den Dienst vor der Änderung beenden.

Übermittlungen ins Ausland

Die Liste der Unterauftragsverarbeiter nennt, wo jeder Anbieter Daten verarbeitet. Verlassen Daten den Europäischen Wirtschaftsraum, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss oder, wo keiner gilt, auf die Standardvertragsklauseln der Europäischen Kommission (Modul 3, Auftragsverarbeiter an Auftragsverarbeiter), die wir mit diesem Anbieter vereinbart haben, mit zusätzlichen Maßnahmen, wo nötig. Weiterübermittlungen durch unsere Anbieter prüfen wir gesondert. Eine Übermittlung ohne gültigen Mechanismus beginnt nicht. Auf Anfrage geben wir Ihnen eine Kopie der Garantien, nur dort geschwärzt, wo es geschäftlich nötig ist.

Länderanhänge

Vereinigtes Königreich: Personenbezogene Daten aus dem Vereinigten Königreich dürfen nach dessen Angemessenheitsregeln für den EWR in den EWR gehen. Geht eine beschränkte Übermittlung über den EWR hinaus, nutzt sie das UK International Data Transfer Addendum zu den Klauseln, die wir mit diesem Anbieter haben.

Schweiz: Übermittlungen in den EWR stützen sich auf die Anerkennung eines angemessenen Schutzes dort durch den Bundesrat; Übermittlungen anderswohin nutzen die Standardvertragsklauseln, wie sie der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte für dieses Ziel anerkennt.

Brasilien: Übermittlungen nach Belgien und in die übrige EU stützen sich auf den Angemessenheitsbeschluss der brasilianischen Datenschutzbehörde (ANPD) für die Europäische Union, soweit er sie erfasst. Andere Ziele und Weiterübermittlungen nutzen den für sie genannten Mechanismus; sind das die Standardvertragsklauseln der ANPD (Resolution CD/ANPD 19/2024), sind deren vollständiger Text und ausgefüllte Anhänge unverändert beigefügt.

Türkei: Ist der Standardvertrag der Datenschutzbehörde die Garantie, füllen wir das richtige türkische Modul mit Ihnen aus und unterzeichnen es, bevor eine Übermittlung beginnt, und der unterzeichnete Vertrag wird der Behörde innerhalb von fünf Arbeitstagen nach Unterzeichnung von der darin genannten Partei gemeldet. Vorher beginnen wir keine Verarbeitung für einen Betrieb in der Türkei.

Quebec: Bevor personenbezogene Informationen Quebec verlassen, geben wir Ihnen die Informationen und schriftlichen Garantien, die Sie für Ihre eigene Bewertung nach dem Gesetz über den Schutz personenbezogener Informationen im Privatsektor brauchen; die Bewertung bleibt Ihre.

Andere Länder mit eigenen Regeln für die Übermittlung personenbezogener Daten ins Ausland (etwa Argentinien, Kolumbien und Peru): Wir geben Ihnen die Informationen über unsere Verarbeitung, die Sie brauchen, und vereinbaren die Klauseln, die dieses Recht verlangt, bevor die Übermittlung beginnt.

Rangfolge

Die zwingenden Bestimmungen eines oben genannten Übermittlungsinstruments gehen dieser Vereinbarung und den Nutzungsbedingungen vor. Vorbehaltlich dessen geht ein Länderanhang für dieses Land dem Rest dieser Vereinbarung vor, und diese Vereinbarung geht bei personenbezogenen Daten den Nutzungsbedingungen vor.

Kontakt

Datenschutzfragen und Meldungen von Verletzungen: support@ospitera.com.