Vertrag über Auftragsverarbeitung

Dieser Vertrag über Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO wird zwischen dem Kunden (Verantwortlicher) und Mykhailo Torcheniuk, Demianiplatz 41, 02826 Görlitz, Deutschland (Auftragsverarbeiter) mit Annahme der Allgemeinen Geschäftsbedingungen geschlossen.

1. Gegenstand und Dauer

Verarbeitung von Gästefeedback-Daten wie in Anhang A beschrieben, für die Laufzeit des Dienstleistungsvertrags.

2. Verarbeitung auf dokumentierte Weisung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen; die Konfiguration des Dienstes und die AGB bilden die ursprünglichen Weisungen; weitere Weisungen in Textform; der Auftragsverarbeiter informiert den Verantwortlichen, wenn eine Weisung seiner Auffassung nach gegen die DSGVO verstößt.

3. Pflichten des Auftragsverarbeiters

• (a) Vertraulichkeit aller zur Verarbeitung der Daten befugten Personen;
• (b) Umsetzung der technischen und organisatorischen Maßnahmen gemäß Anhang B;
• (c) Unterstützung bei Betroffenenanfragen;
• (d) Unterstützung bei Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 32–36);
• (e) Meldung einer Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden;
• (f) Löschung oder Rückgabe aller personenbezogenen Daten nach Beendigung des Dienstes, sofern nicht eine gesetzliche Pflicht zur Aufbewahrung besteht;
• (g) Bereitstellung aller zum Nachweis der Einhaltung erforderlichen Informationen und Ermöglichung von Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem vom Verantwortlichen beauftragten Prüfer durchgeführt werden, nach angemessener Vorankündigung und einmal pro Jahr, sofern keine Verletzung eingetreten ist.

4. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern; die aktuelle Liste wird unter reviewchef.eu/subprocessors geführt; der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus per E-Mail über beabsichtigte Hinzufügungen oder Ersetzungen; der Verantwortliche kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben; wird keine Lösung gefunden, kann der Verantwortliche den Dienstleistungsvertrag kündigen; der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf und haftet für deren Erfüllung weiterhin in vollem Umfang.

5. Eigene Nutzung durch den Auftragsverarbeiter

Der Auftragsverarbeiter darf nur anonymisierte und aggregierte Daten, aus denen kein Gast identifiziert werden kann, für Statistiken, Branchenvergleiche und Produktverbesserung nutzen. Eine Veröffentlichung oder Weitergabe solcher Daten an Dritte erfolgt ausschließlich in einer Form, aus der weder ein Gast noch ein einzelner Betrieb identifiziert werden kann. Jede andere Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters ist ausgeschlossen.

6. Internationale Übermittlungen

Die Verarbeitung erfolgt innerhalb der EU/des EWR; Übermittlungen in Drittstaaten nur mit geeigneten Garantien nach Kapitel V DSGVO und unter Angabe auf der Seite der Unterauftragsverarbeiter.

7. Haftung

Richtet sich nach den Haftungsbestimmungen der AGB.

8. Schlussbestimmungen

Dieser AVV geht den AGB in Datenschutzfragen vor; Änderungen bedürfen der Textform; anwendbares Recht gemäß den AGB.

Anhang A — Einzelheiten der Verarbeitung

• Gegenstand — Erhebung, Speicherung und Auswertung von Gästefeedback im Auftrag des Betriebs;
• Art der Verarbeitung — Erhebung über QR-Code-Formulare, Speicherung, KI-gestützte Zusammenfassung, Anzeige für den Betrieb, Benachrichtigungen;
• Zweck — dem Betrieb zu ermöglichen, Gästefeedback zu erhalten und darauf zu reagieren sowie Serviceprobleme zu erkennen;
• Datenkategorien — Bewertungen, Freitext-Kommentare, gewählter Feedback-Kanal, Tisch- und Zeitbezug, Zeitstempel;
• Kategorien betroffener Personen — Gäste des Kunden;
• Dauer — Laufzeit des Dienstleistungsvertrags.

Anhang B — Technische und organisatorische Maßnahmen

• Hosting ausschließlich in Rechenzentren in der EU (Deutschland);
• Verschlüsselung bei der Übertragung (TLS 1.2+);
• rollenbasierte Zugriffskontrolle für den administrativen Zugriff;
• Löschung der Gästedaten eines Betriebs bei Löschung seines Kontos;
• Trennung der Kundendaten nach Mandanten;
• Verpflichtung aller Personen mit Zugriff zur Vertraulichkeit.

Anhang C — Unterauftragsverarbeiter

Die aktuelle Liste der Unterauftragsverarbeiter einschließlich Zweck, Verarbeitungsort und Übermittlungsgarantien ist unter reviewchef.eu/subprocessors veröffentlicht und Bestandteil dieses AVV.