Auftragsverarbeitungsvertrag

Das Restaurant ist Verantwortlicher, der oben genannte WirtPilot-Anbieter ist Auftragsverarbeiter. Gegenstand ist die Bereitstellung, Sicherung, Wartung und Bereitstellung der WirtPilot-Plattform für die Dauer der tatsächlichen Nutzung.

Gegenstand, Umfang, Zweck, Datenarten, betroffene Personengruppen und Weisungen ergeben sich ergänzend aus den aktivierten Modulen, den Einstellungen und den nachfolgenden Regelungen. Dieser AVV gilt nur, soweit WirtPilot Auftragsverarbeiter ist; für eigene Vertrags-, Abrechnungs-, Sicherheits- und Missbrauchspräventionsdaten handelt WirtPilot als eigener Verantwortlicher.

Die Verarbeitung umfasst Speichern, Strukturieren, Anzeigen, Übermitteln, Sichern, Wiederherstellen und Löschen von Restaurantbetriebsdaten.

Betroffene können insbesondere Gäste, Beschäftigte, Bewerber, Lieferanten und Ansprechpartner sein. Datenarten umfassen Kontakt-, Reservierungs-, Kommunikations-, Schicht-, Zeit-, Abwesenheits-, Beleg-, Lieferanten-, Zahlungs- und Nutzungsdaten sowie freiwillig erfasste Allergie- oder Servicehinweise.

WirtPilot verarbeitet Daten nur auf dokumentierte Weisung des Restaurants, soweit keine gesetzliche Verpflichtung entgegensteht. Zugriffsberechtigte Personen sind auf Vertraulichkeit verpflichtet und erhalten nur erforderliche Rechte.

Als dokumentierte Weisungen gelten die Nutzung der freigeschalteten Funktionen, Rollen- und Aufbewahrungseinstellungen sowie Weisungen in Textform an den Support. Hält WirtPilot eine Weisung für rechtswidrig, wird das Restaurant unverzüglich informiert und die Ausführung bis zur Klärung ausgesetzt, soweit rechtlich zulässig.

Das Restaurant stellt die Rechtmäßigkeit der Datenerhebung und Weisungen sicher, informiert Betroffene, vergibt Rollen sparsam und meldet unberechtigte Zugriffe unverzüglich. Besondere Kategorien personenbezogener Daten, etwa Allergie- oder Gesundheitsangaben, dürfen nur erfasst werden, wenn eine tragfähige Rechtsgrundlage und angemessene Schutzmaßnahmen bestehen.

WirtPilot setzt insbesondere folgende, für Risiko und Stand der Technik angemessene Maßnahmen ein:

• Zugriffskontrolle durch individuelle Konten, rollenbasierte Rechte, Inhaberfreigaben, serverseitige Berechtigungsprüfung und kurzlebige, geschützte Sitzungen.
• Mandantentrennung durch Restaurantkennungen, Datenbankregeln auf Zeilenebene und serverseitige Mandantenprüfung bei jedem internen Datenzugriff.
• Transportverschlüsselung, getrennte Servergeheimnisse, Geheimnis-Redaktion in Exporten und private Dokumentablage mit authentifiziertem Abruf.
• Nachvollziehbarkeit durch Audit- und Sicherheitsereignisse, signierte Anbieter-Webhooks, Zeitstempel und begrenzte Administrationsrechte.
• Verfügbarkeits- und Wiederherstellungsverfahren, überwachte Hintergrundläufe, dokumentierte Wiederanlaufwege und vor Produktivfreigabe getestete Sicherungs- und Alarmketten.
• Änderungs-, Schwachstellen- und Vorfallmanagement einschließlich Sicherheitsaktualisierungen, Zugriffsprüfung und regelmäßiger Wirksamkeitskontrolle.

Das Restaurant erteilt eine allgemeine Genehmigung für erforderliche Unterauftragsverarbeiter. Die aktuelle Liste umfasst Supabase (Datenbank, Authentifizierung und private Dateien), Vercel (Hosting, Funktionen, Auslieferung und technische Telemetrie) und Stripe (Abrechnung) sowie – abhängig von aktivierten Funktionen – Resend oder einen freigegebenen SMTP-Anbieter (E-Mail), OpenAI (KI), Auth0 (ChatGPT-Verbindung) und Twilio (Telefonie).

WirtPilot informiert mindestens 14 Tage vor der beabsichtigten Aufnahme oder Ersetzung eines Unterauftragsverarbeiters per E-Mail oder im Dashboard. Das Restaurant kann innerhalb dieser Frist aus dokumentierten Datenschutzgründen widersprechen. Können die Parteien keine zumutbare Lösung finden, kann der betroffene Dienst außerordentlich beendet werden. Unterauftragsverarbeiter werden vertraglich auf gleichwertige Pflichten verpflichtet; WirtPilot bleibt gegenüber dem Restaurant verantwortlich.

Übermittlungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur auf dokumentierte Weisung und bei Vorliegen eines Angemessenheitsbeschlusses oder geeigneter Garantien, insbesondere EU-Standardvertragsklauseln mit erforderlichen ergänzenden Maßnahmen. Die konkret eingesetzten Garantien werden in der Unterauftragsverarbeiter-Dokumentation nachgewiesen.

WirtPilot unterstützt das Restaurant angemessen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Behördenanfragen und der Erfüllung von Meldepflichten. Verletzungen des Schutzes personenbezogener Daten werden dem Restaurant unverzüglich nach Bekanntwerden mit den verfügbaren Informationen gemeldet.

WirtPilot beantwortet Anfragen betroffener Personen nicht eigenständig, außer auf Weisung oder aufgrund zwingenden Rechts, und leitet sie unverzüglich an das Restaurant weiter. Soweit möglich, stellt WirtPilot Export-, Berichtigungs- und Löschfunktionen zur Verfügung.

Der Inhaber kann die Auftragsdaten während der Vertragslaufzeit und noch 60 Tage nach wirksamem Vertragsende strukturiert exportieren; Originalbelege bleiben über authentifizierte Abrufpfade erreichbar. Nach Ablauf dieser Frist löscht WirtPilot den Mandanten einschließlich operativer Daten, privater Dokumentobjekte und nicht anderweitig benötigter Nutzerkonten. Sicherungskopien werden im Rahmen des dokumentierten Überschreibzyklus entfernt. Ein begründeter Rechts- oder Sicherheits-Hold wird dokumentiert und regelmäßig überprüft.

Eigene gesetzlich aufzubewahrende Vertrags-, Abrechnungs- und Annahmenachweise werden auf das erforderliche Minimum reduziert, getrennt gesperrt und nach Ablauf ihrer Frist gelöscht. Sie gehören nicht zu den für weitere Leistungserbringung genutzten Auftragsdaten.

WirtPilot stellt alle erforderlichen Informationen zum Nachweis der Pflichten bereit und ermöglicht dem Restaurant oder einem zur Vertraulichkeit verpflichteten Prüfer angemessene Prüfungen. Prüfungen sind rechtzeitig anzukündigen, dürfen Sicherheit und Rechte anderer Mandanten nicht beeinträchtigen und können durch aktuelle Zertifikate, Berichte und technische Nachweise erfüllt werden. Bei konkretem Verdacht auf einen Verstoß gilt keine unangemessene Beschränkung.

Dieser Vertrag wird beim Onboarding elektronisch angenommen. Restaurant, Nutzer, Dokumentversion, Einrichtungs-ID und Annahmezeitpunkt werden revisionsfähig protokolliert. Er endet mit vollständiger Rückgabe oder Löschung der Auftragsdaten; Pflichten zu Vertraulichkeit, Nachweis und gesetzlicher Aufbewahrung wirken fort.