Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Verantwortlicher: der jeweilige Kunde beziehungsweise das nutzende Unternehmen.

Auftragsverarbeiter: Jason Büttgenbach, Hunsrückstraße 6, 54295 Trier, Deutschland, E-Mail: jasonmarc29.b@gmail.com, Telefon: +49 1522 2540352.

Der Auftragsverarbeiter erbringt für den Verantwortlichen Software- und Hosting-Leistungen für GUESTRO, einschließlich Mitarbeiterverwaltung, Zeiterfassung, Einsatzplanung, Gästereservierungsanfragen, Reservierungsverwaltung und Bereitstellung öffentlicher Inhaltsdaten. Die Verarbeitung von Reservierungen umfasst die Entgegennahme und Speicherung von Gästewünschen, die Verwaltung ihres Status, die Tisch- oder Bereichszuordnung sowie den Versand transaktionaler Status-E-Mails auf Weisung des Verantwortlichen.

Die Verarbeitung erfolgt für die Dauer des Hauptvertrags beziehungsweise bis zur Löschung oder Rückgabe der Daten nach dessen Beendigung. Der Verantwortliche legt die Aufbewahrungsfristen für Reservierungsdaten unter Berücksichtigung der verfügbaren Löschfunktionen der Anwendung fest.

• Bereitstellung eines Kundenkontos
• Speicherung und Verarbeitung von Mitarbeiterstammdaten
• Speicherung und Verarbeitung von Zeit- und Abwesenheitsdaten
• Einsatz- und Schichtplanung
• Entgegennahme, Speicherung und Verwaltung von Gästereservierungsanfragen und bestätigten Reservierungen einschließlich Anfrage-Status und Tisch- oder Bereichszuordnung
• Versand transaktionaler Reservierungs-E-Mails auf dokumentierte Weisung des Verantwortlichen
• Verarbeitung öffentlicher Verfügbarkeitsantworten
• Speicherung öffentlicher Branding- und Menüinhalte
• technische Sicherheits- und Administrationsvorgänge

• Kontodaten des Kunden
• Mitarbeiterstammdaten
• Arbeitszeitdaten
• Abwesenheitsdaten
• Einsatz- und Planungsdaten
• Gäste- und Reservierungsdaten: Name, Telefonnummer, E-Mail-Adresse, Reservierungsdatum und -uhrzeit, Personenanzahl, optionale Nachricht, Kinderanzahl, Hund-Option, gewünschter Bereich, Anfrage- oder Bestätigungsstatus, Tisch- oder Bereichszuordnung und zugehörige E-Mail-Versandmetadaten
• freiwillig hinterlegte Bild- und Dateiinhalte
• technische Metadaten zur Nutzung der Anwendung

• Ansprechpartner des Kunden
• Mitarbeiterinnen und Mitarbeiter des Kunden
• Gäste, die Reservierungsanfragen oder Reservierungen übermitteln oder in solchen Angaben genannt werden
• Personen, die öffentliche Verfügbarkeitslinks erhalten und beantworten
• Besucher öffentlicher Menü- oder Branding-Seiten

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Pflicht zu einer abweichenden Verarbeitung besteht.

Der Auftragsverarbeiter stellt sicher, dass mit der Verarbeitung befasste Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Die vom Auftragsverarbeiter umgesetzten oder vorgesehenen technischen und organisatorischen Maßnahmen ergeben sich aus der jeweils aktuellen TOM-Anlage von GUESTRO.

Der Verantwortliche erteilt die allgemeine Genehmigung für den Einsatz der in der aktuellen Unterauftragsverarbeiterliste genannten Dienstleister. Änderungen werden dem Verantwortlichen mit angemessener Frist angekündigt.

Aktuell bekannte Infrastrukturregionen: App Hosting europe-west4, Firestore eur3, Storage eur4. Für die Zustellung transaktionaler Reservierungs-E-Mails wird Brevo eingesetzt; die aktuellen Verarbeitungsorte und Transferangaben ergeben sich aus der Unterauftragsverarbeiterübersicht und den jeweils geltenden Bedingungen von Brevo.

• Firebase App Hosting / Google Cloud
• Cloud Firestore
• Cloud Storage for Firebase
• Firebase Authentication
• Brevo — Versand transaktionaler E-Mails

Supportzugriffe erfolgen nur auf Kundenanfrage und nur in dem Umfang, der für die konkrete Supportleistung erforderlich ist.

• Betroffenenanfragen
• Sicherheitsvorfällen und Verletzungen des Schutzes personenbezogener Daten
• Datenschutz-Folgenabschätzungen
• Nachweisen gegenüber Aufsichtsbehörden

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betreffen.

Während der Laufzeit des Hauptvertrags legt der Verantwortliche angemessene Aufbewahrungsfristen fest und kann Reservierungsdaten über die verfügbaren Anwendungsfunktionen löschen. Die automatische Löschung tagbezogener Tisch- und Raumreservierungen kann konfiguriert werden und ist standardmäßig ausgeschaltet. Abgelehnte Online-Reservierungsanfragen werden sieben Tage nach der Ablehnung zur automatischen Löschung vorgemerkt. Andere Anfrageeinträge bleiben gespeichert, bis der Verantwortliche sie löscht.

Nach Ende des Hauptvertrags löscht oder gibt der Auftragsverarbeiter personenbezogene Daten nach Weisung des Verantwortlichen zurück, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Der Verantwortliche ist berechtigt, die Einhaltung der datenschutzrechtlichen Pflichten des Auftragsverarbeiters in angemessenem Umfang nach vorheriger Ankündigung zu überprüfen oder durch Dritte überprüfen zu lassen.

• Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.
• Es gilt das Recht der Bundesrepublik Deutschland, soweit zwingendes Datenschutzrecht nichts anderes bestimmt.

• Anlage 1: Leistungsbeschreibung / Verarbeitungsgegenstand
• Anlage 2: Technische und organisatorische Maßnahmen
• Anlage 3: Unterauftragsverarbeiterliste