Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Stand: 15. November 2026

Gilt automatisch mit der Registrierung. Du kannst ihn hier jederzeit als PDF herunterladen und für deine Unterlagen ablegen.

1. Gegenstand und Dauer

Maximilian Klein, Koga Development (Marke „Kellnr“) („Kellnr“, Auftragsverarbeiter) verarbeitet im Auftrag des Kunden („Auftraggeber“, Verantwortlicher) personenbezogene Daten seiner Gäste und seines Teams, solange der Vertrag über Kellnr (AGB) besteht, und danach bis zur Löschung nach Ziffer 9.

2. Art und Zweck der Verarbeitung

Anzeigen der Speisekarte, Annehmen, Übersetzen und Anzeigen von Bestellungen, Notizen und Rufen auf dem Bestell-Board, Verwalten der Team-Zugänge, Speichern, Sichern und Löschen dieser Daten.

3. Art der Daten und betroffene Personen

Gäste: Bestellungen mit Notizen, Kellner- und Rechnungs-Rufe, freiwilliger Vorname für Abholungen, gewählte Sprache, zufällige Geräte-Kennung, Zeitpunkte. Team: Name, E-Mail-Adresse, Rolle, Anmeldedaten. Besondere Kategorien von Daten (Art. 9 DSGVO) sind nicht vorgesehen; schreibt ein Gast z. B. eine Allergie in eine Notiz, wird sie nur zur Erfüllung der Bestellung angezeigt.

4. Weisungen

Kellnr verarbeitet die Daten nur nach dokumentierter Weisung des Auftraggebers. Die Weisungen sind dieser Vertrag, die AGB und die Einstellungen, die der Auftraggeber in Kellnr vornimmt; weitere Weisungen gibt er per E-Mail. Hält Kellnr eine Weisung für rechtswidrig, weist es den Auftraggeber unverzüglich darauf hin. Eine Verarbeitung für eigene Zwecke findet nicht statt, außer Kellnr ist gesetzlich dazu verpflichtet.

5. Vertraulichkeit

Alle Personen, die bei Kellnr Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Speicherung auf Servern in Frankfurt (EU); Verschlüsselung bei der Übertragung (TLS) und bei der Speicherung; Trennung der Daten pro Lokal in der Datenbank (Row Level Security); Zugriff nur für angemeldete Team-Mitglieder mit ihrer Rolle; Anmeldung mit Passwort (aus Datenlecks bekannte Passwörter abgelehnt) oder Google, Admin-Zugang bei Kellnr nur mit Zwei-Faktor-Anmeldung; Geheimschlüssel nur auf dem Server; tägliche Backups; Fehlermeldungen ohne Gästedaten; regelmäßige automatische Tests der Zugriffsregeln. Kellnr darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Der Auftraggeber stimmt den Dienstleistern in der Liste der Datenschutzerklärung zu, einschließlich der dort genannten Grundlagen für Übermittlungen in die USA. Gast-Notizen in einer anderen Sprache werden zur Übersetzung an Anthropic (USA) übermittelt, ohne Geräte-Kennung oder Tisch. Kellnr verpflichtet jeden Dienstleister vertraglich auf ein entsprechendes Schutzniveau. Über neue oder geänderte Dienstleister informieren wir mindestens 30 Tage vorher per E-Mail; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und, wenn wir keine Lösung finden, den Vertrag kündigen.

8. Unterstützung und Meldungen

Kellnr unterstützt den Auftraggeber mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Art. 12–23 DSGVO) und bei seinen Pflichten nach Art. 32–36 DSGVO. Wendet sich eine betroffene Person direkt an Kellnr, leiten wir die Anfrage an den Auftraggeber weiter. Eine Verletzung des Schutzes personenbezogener Daten melden wir dem Auftraggeber unverzüglich, möglichst innerhalb von 48 Stunden, nachdem sie uns bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

9. Löschung und Rückgabe

Weitere Lokale samt ihrer Daten kann der Auftraggeber jederzeit selbst in Kellnr löschen; das ganze Konto löschen wir auf Wunsch per E-Mail. Nach Vertragsende pausiert das Konto; spätestens 12 Monate danach werden alle Daten gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Kopien in Backups werden mit deren regulärem Ablauf überschrieben.

10. Nachweise und Kontrollen

Kellnr stellt dem Auftraggeber auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus diesem Vertrag nötig sind, und ermöglicht Überprüfungen, auch vor Ort, nach rechtzeitiger Absprache, zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Statt einer Prüfung vor Ort können auch aktuelle Nachweise der Dienstleister (z. B. Zertifikate) genügen.

11. Haftung und Schluss

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regeln der AGB. Bei Widersprüchen zwischen AGB und diesem Vertrag geht dieser Vertrag in Fragen des Datenschutzes vor.