Auftragsverarbeitungsvertrag (ADV)

Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO Stand: August 2026

Präambel Dieser Auftragsverarbeitungsvertrag (nachfolgend „ADV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung des Dienstes MenuMonkeys. Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird mit Vertragsschluss zwischen dem nutzenden Betrieb und dem Anbieter verbindlich.

Verantwortlicher (nachfolgend „Auftraggeber") ist der den Dienst nutzende Betrieb (Gastronomie-/Hotelbetrieb). Auftragsverarbeiter (nachfolgend „Auftragnehmer") ist die AzApp.one GmbH, Mitländerstrasse 20, 71642 Ludwigsburg, Deutschland.

1. Gegenstand, Art und Zweck der Verarbeitung Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers, soweit dies zur Erbringung des Dienstes (digitales QR-Bestell- und Gästekommunikationssystem) erforderlich ist. Gegenstand sind insbesondere die Entgegennahme, Speicherung, Anzeige und Übermittlung von Bestell-, Reservierungs- und – soweit aktiviert – Gästekontaktdaten sowie die zugehörige Benachrichtigung des Betriebs.

2. Dauer Die Verarbeitung erfolgt für die Laufzeit des zugrunde liegenden Hauptvertrags. Der ADV endet mit dessen Beendigung; die Pflichten zur Löschung bzw. Rückgabe (Ziffer 10) bestehen fort.

3. Art der Daten und Kategorien betroffener Personen Die verarbeiteten Datenarten und Betroffenenkategorien ergeben sich aus Anlage 1.

4. Weisungsrecht des Auftraggebers Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers. Die Nutzung des Dienstes und seine Konfiguration gelten als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber; er ist berechtigt, die Umsetzung bis zur Bestätigung auszusetzen.

5. Pflichten des Auftragnehmers Der Auftragnehmer - verarbeitet die Daten nur weisungsgebunden und nicht für eigene Zwecke; - verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit; - ergreift die technisch-organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2; - unterstützt den Auftraggeber im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12–23) sowie bei Pflichten nach Art. 32–36 DSGVO; - meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden (Ziffer 9); - stellt dem Auftraggeber die zum Nachweis erforderlichen Informationen bereit und ermöglicht Kontrollen (Ziffer 8).

6. Technisch-organisatorische Maßnahmen Der Auftragnehmer unterhält die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen und passt sie dem Stand der Technik entsprechend an. Eine Änderung darf das vereinbarte Schutzniveau nicht unterschreiten.

7. Unterauftragsverarbeiter Der Auftraggeber erteilt die allgemeine Genehmigung zur Beauftragung der in Anlage 3 genannten Unterauftragsverarbeiter. Der Auftragnehmer stellt bei diesen die Einhaltung entsprechender Datenschutzpflichten (Art. 28 Abs. 4 DSGVO) sicher. Beabsichtigte Änderungen (Hinzufügung/Austausch) teilt der Auftragnehmer rechtzeitig mit; der Auftraggeber kann aus wichtigem, datenschutzrechtlichem Grund widersprechen.

8. Kontrollrechte Der Auftragnehmer weist die Einhaltung seiner Pflichten auf Anforderung nach – vorrangig durch geeignete Nachweise, Berichte oder Zertifikate. Soweit erforderlich, ermöglicht er Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten Prüfer nach angemessener Vorankündigung und ohne Störung des Betriebsablaufs.

9. Meldung von Datenschutzverletzungen Der Auftragnehmer informiert den Auftraggeber unverzüglich über Verletzungen des Schutzes der im Auftrag verarbeiteten Daten und unterstützt ihn bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO mit den verfügbaren Informationen.

10. Löschung und Rückgabe Nach Abschluss der Verarbeitung löscht der Auftragnehmer die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Auftraggebers zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Auftraggeber kann seine Daten während der Vertragslaufzeit über die bereitgestellten Export- und Löschfunktionen selbst ausleiten bzw. löschen.

11. Haftung und Schlussbestimmungen Für die Haftung gelten die gesetzlichen Bestimmungen sowie die Regelungen des Hauptvertrags. Bei Widersprüchen zwischen ADV und Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses ADV vor. Es gilt deutsches Recht.

Anlage 1 – Datenarten und Betroffenenkategorien Kategorien betroffener Personen: Gäste und Endkunden des Betriebs, Hotelgäste, Mitarbeiter des Betriebs (Nutzer der Anwendung).

Datenarten: - Bestelldaten: Bestellpositionen, Notizen, Tisch-/Zimmernummer, Zeitpunkt, Betrag - optionale Gästekontaktdaten (nur bei Aktivierung): Name, E-Mail, Telefon - Reservierungsdaten: Name, E-Mail, Telefon, Personenzahl, Zeitpunkt, gekürzter IP-Hash, Einwilligungsnachweis - Push-Anmeldungen (Endpunkt und Schlüssel des Geräts) - Nutzer-/Stammdaten der Betriebsmitarbeiter: Name, E-Mail, Rolle, Zugangsdaten (als Hash)

Anlage 2 – Technisch-organisatorische Maßnahmen (Art. 32 DSGVO) - Vertraulichkeit: rollenbasierte Zugriffskontrolle (RBAC), mandantengetrennte Datenhaltung, Passwörter als bcrypt-Hash, verschlüsselte Speicherung sensibler Schlüssel/Secrets (AES-256-GCM), Pseudonymisierung (z. B. gekürzter IP-Hash statt Klartext-IP). - Integrität: verschlüsselte Übertragung (TLS/HTTPS), Zugriffs- und Änderungsprotokollierung (Audit-Logs), Eingabevalidierung, Ratenbegrenzung sicherheitskritischer Endpunkte. - Verfügbarkeit und Belastbarkeit: Hosting in einem EU-Rechenzentrum (Hetzner, Deutschland), tägliche verschlüsselte Datensicherungen mit begrenzter Aufbewahrung, Zugriffsschutz der Datenbank (keine öffentliche Erreichbarkeit). - Verfahren zur regelmäßigen Überprüfung: Sicherheits-Reviews, Protokollierung sicherheitsrelevanter Ereignisse, Trennung von Berechtigungen (Prinzip der geringsten Rechte).

Anlage 3 – Genehmigte Unterauftragsverarbeiter - Hetzner Online GmbH (Deutschland) – Server-Hosting und Backup-Speicher - Cloudflare, Inc. (EU/USA, SCC) – TLS-Terminierung, Sicherheit, Auslieferung - Resend, Inc. (EU/USA, SCC) – Transaktions-E-Mail - Google Ireland Ltd. / Google LLC (USA, SCC/DPF) – KI-Menü-Import und Übersetzung - OpenAI und Groq, Inc. (USA, SCC) – KI-Ausweichlösung - Stripe Payments Europe Ltd. / Stripe, Inc. (EU/USA, SCC/DPF) – Zahlungsabwicklung des Tarif-Abos - Telegram (nur bei Aktivierung der Benachrichtigungsfunktion durch den Betrieb) – Übermittlung von Bestell-Benachrichtigungen in den Betreiber-Chat

Hinweis: Setzt der Betrieb optionale eigene Anbindungen ein (z. B. eigenes Kassen-/Zahlungs- oder Druckersystem), liegt deren datenschutzrechtliche Ausgestaltung im Verantwortungsbereich des Betriebs.