Auftragsverarbeitungsvertrag
Zwischen dem Betrieb, der Tap-Beleg nutzt („Verantwortlicher“), und Lichtfels Services GmbH, Hofgasse 11, 4063 Hörsching, Österreich („Auftragsverarbeiter“). Dieser Vertrag ist Teil der AGB und gilt mit dem Anlegen des Kontos.
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um Tap-Beleg bereitzustellen (digitale Belege, Rechnung auf der Kachel, Zahlungen am Tisch, Kellner-App, Treue- und Gästefunktionen, Kassa und Anbindungen). Die Dauer entspricht der Laufzeit des Hauptvertrags.
2. Daten und betroffene Personen
Gäste: Belegdaten, Gerätekennung, freiwillig angegebene E-Mail-Adressen, Namen beim Aufteilen, Rufe an das Personal, Zahlungsinformationen ohne Kartendaten. Personal: Name, PIN (verschlüsselt), Anmeldezeiten, kassierte Zahlungen. Ansprechpersonen des Verantwortlichen: Name, E-Mail.
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; die Weisungen ergeben sich aus dem Vertrag und den Einstellungen im Dashboard. Hält er eine Weisung für rechtswidrig, teilt er das unverzüglich mit.
4. Vertraulichkeit und Sicherheit
Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Technische und organisatorische Maßnahmen (Art. 32 DSGVO): Verschlüsselung bei der Übertragung (TLS) und für Zugangsschlüssel und Geheimnisse im Ruhezustand (AES-256-GCM), Zwei-Faktor-Anmeldung für Betreiber, Sperren nach falschen Anmeldeversuchen, Trennung der Daten je Betrieb, Protokollierung von Admin-Aktionen, tägliche Sicherungen, unveränderliche Ablage der Kassen-Datenexporte, Hosting in der EU für die Datenbank.
5. Unterauftragsverarbeiter
Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter. Über Änderungen informiert der Auftragsverarbeiter mindestens 30 Tage vorher; der Verantwortliche kann aus wichtigem Grund widersprechen.
- Vercel Inc.: Hosting der Webanwendung (USA / EU (Standardvertragsklauseln, EU-US Data Privacy Framework))
- Supabase Inc.: Datenbank, Anmeldung, Dateiablage (EU (Frankfurt))
- Resend Inc.: Versand von E-Mails (Anmeldelinks, Benachrichtigungen) (USA (Standardvertragsklauseln))
- fiskaly GmbH: Signatur von Belegen (RKSV / TSE), DSFinV-K, Meldungen an die Finanzverwaltung (EU (Österreich / Deutschland))
- Expo (650 Industries Inc.): Auslieferung der Kellner-App (USA (Standardvertragsklauseln))
Stripe verarbeitet Zahlungen der Gäste als eigener Verantwortlicher aufgrund des Vertrags zwischen dem Betrieb und Stripe und ist kein Unterauftragsverarbeiter.
6. Unterstützung, Meldungen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen, bei der Datenschutz-Folgenabschätzung und bei Meldungen. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
7. Löschung und Rückgabe
Nach Vertragsende kann der Verantwortliche seine Daten 30 Tage lang exportieren; danach löscht der Auftragsverarbeiter sie, soweit keine gesetzliche Aufbewahrungspflicht besteht.
8. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt die zum Nachweis nötigen Informationen bereit und ermöglicht Überprüfungen nach angemessener Vorankündigung, in der Regel durch Vorlage von Dokumentation.