Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

1. Vertragsparteien und Abgrenzung der Rollen

Verantwortlicher für die in diesem Vertrag beschriebenen Restaurantverarbeitungen ist der jeweilige Restaurant- beziehungsweise Unternehmenskunde. Auftragsverarbeiter ist:

• Lieferdienst Solution
• Inhaber: Lover Khabat Hama Aziz
• Rechtsform: Einzelunternehmen
• Reismühle 18, 22087 Hamburg, Deutschland
• E-Mail: info@lieferdienst-solution.de
• Telefon: 017684896308
• USt-IdNr.: derzeit nicht vorhanden

Dieser Vertrag gilt ausschließlich für personenbezogene Daten, die Lieferdienst Solution im Auftrag und nach dokumentierten Weisungen des Restaurants verarbeitet.

Nicht erfasst sind eigene Verarbeitungen von Lieferdienst Solution, insbesondere die restaurantübergreifende Suche, das plattformweite Kundenkonto, die eigene Vermittlungsleistung, die Verwaltung und Abrechnung des Plattformvertrags sowie eigenverantwortliche Sicherheits- und Supportvorgänge. Für diese Verarbeitungen gelten die Datenschutzinformationen von Lieferdienst Solution.

Die Rollen richten sich nach der tatsächlichen Verarbeitung. Die eigene Erfassung, Vermittlung und technische Übermittlung einer Bestellung endet mit ihrer Zuordnung und Bereitstellung für das ausgewählte Restaurant. Die nachgelagerte restaurantbezogene Speicherung, Bearbeitung, Kassenübermittlung und Kundenstatuskommunikation erfolgt nach Restaurantweisung. Eine pauschale gemeinsame Verantwortlichkeit wird nicht vereinbart. Stripe und PayPal sind für Zahlungsdurchführung, Missbrauchsschutz und gesetzliche Pflichten eigenständig verantwortlich; reine Auftragsleistungen werden getrennt nach dem jeweiligen Dienstvertrag beurteilt. Google Maps handelt dienstbezogen nach seinen Controller Terms. Diese eigenständigen Tätigkeiten sind keine Unterauftragsverarbeitung nach diesem Vertrag.

2. Gegenstand, Art, Zweck und Dauer der Auftragsverarbeitung

Gegenstand ist die technische Verarbeitung restaurantbezogener Bestelldaten nach den dokumentierten Weisungen des Restaurants. Sie umfasst, soweit genutzt:

• Speicherung und Verwaltung der Bestellungen des Restaurants;
• technische Unterstützung von Lieferung und Abholung einschließlich Liefergebietsprüfung;
• Übertragung an das vom Restaurant eingerichtete Kassensystem;
• Verarbeitung von Bestell-, Annahme- und Bearbeitungsstatus;
• Versand bestellbezogener Nachrichten im Auftrag des Restaurants;
• technische Unterstützung von Stornierung und Erstattung;
• hierfür erforderliche Fehlerbehandlung, Sicherheit und Protokollierung.

Die Verarbeitung erfolgt während der Vertragslaufzeit und anschließend nur für die vereinbarte Rückgabe, Löschung oder eine rechtlich erforderliche eingeschränkte Aufbewahrung. Maßgeblich sind die dokumentierten Weisungen, das abgestimmte Löschkonzept und Ziffer 10 dieses Vertrags.

3. Kategorien betroffener Personen und Daten

Kategorien betroffener Personen:

• Endkundinnen und Endkunden des Restaurants
• gegebenenfalls Ansprechpartner und Mitarbeitende des Restaurants, soweit ihre Daten im Rahmen der Auftragsverarbeitung verarbeitet werden

Kategorien personenbezogener Daten:

• Name
• E-Mail-Adresse
• Telefonnummer
• Lieferadresse
• Bestellinhalt einschließlich Optionen und Sonderwünschen
• Bestellzeitpunkt und gewünschter Abhol- oder Lieferzeitpunkt
• Zahlungsart und Zahlungsstatus
• Bestell- und Statushistorie
• Kundenhinweise und Freitextangaben
• technische Identifikatoren und Protokolldaten, soweit für Betrieb und Sicherheit erforderlich

Freitextfelder können theoretisch besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO enthalten, etwa Hinweise auf Unverträglichkeiten. Die Plattform ist nicht dazu vorgesehen, solche Daten gezielt zu erheben; der Verantwortliche wirkt darauf hin, dass sie nicht unnötig erhoben werden.

4. Dokumentierte Weisungen

Lieferdienst Solution verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich dieses Vertrags, der Plattformkonfiguration durch den Verantwortlichen und der Nutzung der bereitgestellten Funktionen. Eine Übermittlung an ein Drittland erfolgt nur nach Maßgabe von Ziffer 11.

Weisungen werden in Textform erteilt. Ist Lieferdienst Solution der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, wird der Verantwortliche unverzüglich informiert; die Ausführung der Weisung kann bis zur Klärung ausgesetzt werden.

Ist Lieferdienst Solution aufgrund des Unionsrechts oder des Rechts eines Mitgliedstaats zur Verarbeitung verpflichtet, wird der Verantwortliche vor der Verarbeitung unterrichtet, sofern das Recht dies nicht verbietet.

5. Vertraulichkeit

Lieferdienst Solution setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Die Verarbeitung erfolgt nach dem Grundsatz der Erforderlichkeit; Zugriffe sind auf das für die jeweilige Aufgabe notwendige Maß beschränkt.

6. Technische und organisatorische Maßnahmen

Lieferdienst Solution trifft die in Anhang 3 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Die Maßnahmen entsprechen dem tatsächlichen Stand der Umsetzung und werden bei Bedarf angepasst; das Schutzniveau wird dabei nicht unterschritten.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der in Anhang 2 genannten Unterauftragsverarbeiter.

Über die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter informiert Lieferdienst Solution den Verantwortlichen in Textform mit einer angemessenen Frist von in der Regel 30 Tagen vor dem Wirksamwerden. Der Verantwortliche kann innerhalb dieser Frist aus einem sachlichen datenschutzrechtlichen Grund widersprechen. Kann keine einvernehmliche Lösung gefunden werden, steht dem Verantwortlichen ein Sonderkündigungsrecht für die betroffene Leistung zu.

Lieferdienst Solution verpflichtet Unterauftragsverarbeiter zu Datenschutzpflichten, die den Pflichten dieses Vertrags entsprechen, und haftet für deren Auswahl und Kontrolle im gesetzlichen Rahmen.

8. Unterstützung bei Betroffenenrechten

Lieferdienst Solution unterstützt das Restaurant unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung der Betroffenenrechte. Die Unterstützung erfolgt durch die tatsächlich verfügbaren Funktionen und erforderlichenfalls durch einen dokumentierten manuellen Bearbeitungsprozess.

Eine im Betreiberbereich noch nicht bereitgestellte Lösch- oder Exportfunktion wird nicht als vorhanden vorausgesetzt. Das Fehlen einer solchen Funktion beschränkt die gesetzlichen Unterstützungspflichten nicht.

Anfragen, die unmittelbar bei Lieferdienst Solution eingehen und eine Verarbeitung im Auftrag betreffen, werden unverzüglich dem zuständigen Restaurant zugeordnet und weitergeleitet.

9. Unterstützung nach Art. 32 bis 36 DSGVO

Lieferdienst Solution unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen, jeweils unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen.

Wird Lieferdienst Solution eine Verletzung des Schutzes personenbezogener Daten bekannt, die die Verarbeitung im Auftrag betrifft, wird der Verantwortliche unverzüglich informiert. Die Meldung enthält die verfügbaren Angaben zu Art, betroffenen Datenkategorien, wahrscheinlichen Folgen und ergriffenen Maßnahmen.

10. Löschung und Rückgabe nach Vertragsende

Nach Vertragsende kannst du innerhalb von 30 Kalendertagen einen bereitgestellten Export anfordern. Während der Rückgabeabwicklung speichern wir die erforderlichen Daten nur eingeschränkt für diese Abwicklung. Anschließend richten sich Rückgabe, Löschung und weitere eingeschränkte Speicherung nach rechtmäßigen dokumentierten Weisungen und gesetzlichen Pflichten. Steuerlich aufzubewahrende Restaurantunterlagen werden nicht pauschal gelöscht.

11. Drittlandübermittlungen

Eine Verarbeitung außerhalb der EU beziehungsweise des EWR erfolgt nur, wenn die Voraussetzungen des Kapitels V der DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der EU-Kommission nebst erforderlichen ergänzenden Maßnahmen.

Die derzeit bekannten Drittlandbezüge der eingesetzten Unterauftragsverarbeiter sind in Anhang 2 ausgewiesen.

12. Nachweise und Kontrollrechte

Lieferdienst Solution stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung, insbesondere die aktuelle Beschreibung der technischen und organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter.

Der Verantwortliche kann Überprüfungen nach angemessener Vorankündigung während der üblichen Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Der Betrieb darf dadurch nicht unangemessen beeinträchtigt werden; Betriebs- und Geschäftsgeheimnisse sowie die Rechte anderer Kunden sind zu wahren.

13. Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und dem Plattformvertrag gehen die Regelungen dieses Vertrags für die Verarbeitung im Auftrag vor. Es gilt deutsches Recht.

Anhänge sind Bestandteil dieses Vertrags:

• Anhang 1 – Verarbeitungsübersicht (Ziffern 2 und 3)
• Anhang 2 – Unterauftragsverarbeiter
• Anhang 3 – Technische und organisatorische Maßnahmen