Auftragsverarbeitungsvertrag (AVV)

1. Parteien, Gegenstand und Dauer

• Verantwortlicher: das Restaurant, das Synet Eat nutzt (nachfolgend „Verantwortlicher“). Auftragsverarbeiter: Synetma (Synet AI), Inhaber Mustafa Genc, Hauptstraße 36, 73033 Göppingen, E-Mail info@synet-ai.com (nachfolgend „Auftragsverarbeiter“).
• Gegenstand: Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Restaurant-Software (Reservierungen, Bestellverwaltung, Tischbestellungen, Gästeverwaltung, Kommunikation mit Gästen) und der Vermittlung von Bestellungen und Reservierungen über syneteat.com an den Verantwortlichen sowie der Entgegennahme, Weiterleitung und befristeten Speicherung von Bewerbungen auf Stellenanzeigen des Verantwortlichen (Synet Eat Jobs).
• Dauer: Der Vertrag gilt für die Laufzeit der Vereinbarung über Synet Eat und endet mit deren Beendigung, soweit nicht noch Daten zurückzugeben oder zu löschen sind (Ziffer 9).
• Soweit der Auftragsverarbeiter Daten der Kunden der Plattform für eigene Zwecke verarbeitet (Kundenkonto, Sicherheit, Bewertungen, Reichweitenmessung, Prüfung und Moderation von Stellenanzeigen, Bearbeitung von Meldungen), ist er dafür selbst Verantwortlicher (siehe Datenschutzerklärung Synet Eat); dieser Vertrag betrifft diese Verarbeitungen nicht.

2. Art und Zweck der Verarbeitung, Datenarten, Betroffene

Art, Zweck, Datenkategorien und Betroffene ergeben sich aus Anlage 1.

3. Weisungsgebundenheit

• Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in ein Drittland, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dies dem Verantwortlichen vorab mit, soweit rechtlich zulässig.
• Weisungen erteilt der Verantwortliche durch die Nutzung und Konfiguration der Software (z. B. Statusänderung oder Löschung von Bewerbungen im Bewerber-Postfach) sowie in Textform (E-Mail). Der Auftragsverarbeiter weist den Verantwortlichen unverzüglich darauf hin, wenn er eine Weisung für rechtswidrig hält; er darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

4. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die Daten nur nach Weisung verarbeiten.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter setzt die in Anlage 2 beschriebenen Maßnahmen um und entwickelt sie angemessen weiter. Wesentliche Änderungen, die das Schutzniveau verringern, sind unzulässig.

6. Unterauftragsverarbeiter

• Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter.
• Über beabsichtigte Hinzufügungen oder Ersetzungen informiert der Auftragsverarbeiter mindestens 14 Tage vorher in Textform; der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Wird keine Einigung erzielt, kann jede Partei den Vertrag über Synet Eat zum Zeitpunkt der Änderung kündigen.
• Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten wie in diesem Vertrag und haftet für deren Pflichterfüllung.

7. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, sofern nicht anders vereinbart.

8. Weitere Unterstützungs- und Meldepflichten

• Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation).
• Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntnis, mit den ihm bekannten Informationen (Art, Umfang, voraussichtliche Folgen, ergriffene Maßnahmen).

9. Löschung und Rückgabe

Bewerbungsdaten löscht der Auftragsverarbeiter unabhängig vom Vertragsende automatisch 90 Tage nach Eingang der Bewerbung (Standardeinstellung; der Verantwortliche kann sie vorher löschen). Der Verantwortliche ist dafür verantwortlich, Bewerbungsdaten, die er länger benötigt oder aufbewahren muss, vorher in seine eigenen Unterlagen zu übernehmen. Im Übrigen löscht der Auftragsverarbeiter nach Beendigung der Leistungen die Daten des Verantwortlichen innerhalb von 90 Tagen oder gibt sie auf Verlangen in einem gängigen Format heraus und löscht sie danach, es sei denn, nach Unionsrecht oder nationalem Recht besteht eine Pflicht zur Speicherung (z. B. handels- und steuerrechtliche Aufbewahrung). Backups werden im regulären Rhythmus überschrieben.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem beauftragten Prüfer durchgeführt werden. Kontrollen erfolgen nach rechtzeitiger Anmeldung (in der Regel 14 Tage), zu üblichen Geschäftszeiten, ohne Störung des Betriebs und unter Wahrung der Vertraulichkeit; der Verantwortliche trägt die Kosten, soweit die Kontrolle nicht einen Verstoß ergibt. Als Nachweis kann zunächst eine schriftliche Auskunft oder die Vorlage von Zertifizierungen der Unterauftragsverarbeiter genügen.

11. Drittlandübermittlung

Eine Übermittlung in Drittländer findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Angemessenheitsbeschluss, Standardvertragsklauseln oder andere geeignete Garantien). Soweit in Anlage 3 Unterauftragsverarbeiter in den USA genannt sind, erfolgt dies auf dieser Grundlage.

Anlage 1 – Gegenstand der Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen

• Zugangskontrolle: Passwortgeschützte Konten, Passwörter ausschließlich als kryptografischer Hash gespeichert; Sitzungs-Cookies mit den Attributen secure, httponly und SameSite; Sperre nach wiederholten Fehlversuchen; Konto-Sperre bei abgelaufener Lizenz.
• Zugriffskontrolle/Mandantentrennung: Daten sind logisch nach Restaurant getrennt; Abfragen sind auf die Kennung des jeweiligen Restaurants beschränkt; Zugriff auf Produktivdaten haben nur wenige, zur Vertraulichkeit verpflichtete Personen des Auftragsverarbeiters.
• Weitergabekontrolle: Verschlüsselte Übertragung (TLS) zwischen Browser und Server und zwischen den Systemen; E-Mail-Versand über verschlüsselte SMTP-Verbindung.
• Eingabekontrolle: Zeitstempel und Statusprotokollierung zentraler Vorgänge (z. B. Bestellungen, Reservierungen, Zustimmungen).
• Bewerbungen: Zugriff ausschließlich über das Konto des jeweiligen Restaurants (Abfragen sind auf die Kennung des Restaurants beschränkt); Bewerbungsformular mit Pflicht-Einwilligung, Bot-Schutz (Honeypot), Mengenbegrenzung und Dublettenprüfung; automatische Löschung nach 90 Tagen; die E-Mail-Benachrichtigung an das Restaurant enthält die Bewerberangaben (verschlüsselte SMTP-Verbindung, keine Anhänge, kein Dokumenten-Upload).
• Datensparsamkeit und Pseudonymisierung: IP-Adressen werden für Missbrauchsschutz nur in gehashter Form gespeichert und nach kurzer Zeit gelöscht; Standortkoordinaten werden 30 Tage nach Abschluss einer Bestellung gelöscht; nicht bestätigte Kundenkonten werden gelöscht; Löschfunktionen für Kundenkonten.
• Missbrauchs- und Angriffsschutz: Mengenbegrenzung (Rate-Limiting), Honeypot-/Bot-Schutz bei Registrierung und Bestellung, serverseitige Validierung aller Eingaben, parametrisierte Datenbankabfragen.
• Zahlungsdaten: Kartendaten werden nicht von uns verarbeitet, sondern ausschließlich von Stripe.
• Verfügbarkeit und Wiederherstellbarkeit: Betrieb auf Servern des Hosting-Anbieters IONOS; Sicherung der Datenbank und Dateien nach dem Sicherungskonzept des Betreibers.
• Organisatorisch: Verpflichtung der Beteiligten auf Vertraulichkeit, regelmäßige Überprüfung und Aktualisierung der Software und Zugangsdaten, Dokumentation von Datenschutzvorfällen.