Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO. Auftragnehmer ist der im Impressum von bitteplatz.de genannte Anbieter. Auftraggeber ist der Betreiber eines gastronomischen Betriebs (Restaurantinhaber), der bitteplatz.de nutzt (Kunde). Der Vertrag wird mit Abschluss des Nutzungsvertrags wirksam (siehe § 13 der AGB) und bedarf keiner gesonderten Unterschrift.
(1) Der Auftragnehmer stellt bitteplatz.de als Online-Dienst bereit (Online-Tischreservierung, Reservierungsverwaltung und Gästekommunikation) und verarbeitet dabei personenbezogene Daten im Auftrag des Auftraggebers.
(2) Der Vertrag gilt für die Laufzeit des Nutzungsvertrags und endet mit dessen Beendigung. Die Regelungen zu Löschung und Rückgabe (§ 9) wirken darüber hinaus fort.
(3) Der Auftraggeber ist Verantwortlicher (Art. 4 Nr. 7 DSGVO), der Auftragnehmer Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO). Soweit der Auftragnehmer Daten zu eigenen Zwecken verarbeitet (Vertragsverwaltung, Abrechnung, Sicherheit der Plattform), ist er selbst Verantwortlicher. Hierfür gilt die Datenschutzerklärung.
(1) Art und Zweck: Erheben, Speichern, Anzeigen, Übermitteln (z. B. Bestätigungs- und Erinnerungs-E-Mails), Auswerten im Dashboard des Auftraggebers, Anonymisieren und Löschen. Zweck ist die Durchführung der Buchungen des Auftraggebers.
(2) Datenarten: Name, Telefonnummer, E-Mail-Adresse, Reservierungsdaten (Datum, Uhrzeit, Personenzahl, Tisch, Status wie erschienen oder nicht erschienen), freiwillige Anmerkungen, ein pseudonymer Vergleichswert (Hash) zur Wiedererkennung wiederkehrender Gäste und wiederholten Nichterscheinens sowie, soweit Mitarbeitende einen eigenen Zugang erhalten, deren Zugangsdaten (Login und gehashtes Passwort).
(3) Betroffene: Gäste des Auftraggebers, die über bitteplatz.de reservieren oder vom Auftraggeber im Dashboard erfasst werden (Telefon, Walk-in), sowie Mitarbeitende des Auftraggebers, soweit sie einen Zugang erhalten.
(4) Freitextfelder verantwortet der Auftraggeber. Dort sollen nur erforderliche Angaben stehen. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsangaben) sind nur zulässig, wenn sie für die Leistung erforderlich sind und der Auftraggeber dafür eine Rechtsgrundlage hat.
(1) Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind dieser Vertrag und die Nutzung der Funktionen und Einstellungen im Dashboard. Weitere Weisungen erfolgen in Textform (z. B. E-Mail).
(2) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage und die Information seiner Betroffenen nach Art. 13 und 14 DSGVO.
(3) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
(1) Der Auftragnehmer verarbeitet Daten ausschließlich nach Weisung, es sei denn, eine gesetzliche Pflicht verlangt etwas anderes. In diesem Fall teilt er dies dem Auftraggeber vorab mit, soweit rechtlich zulässig.
(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis die Weisung bestätigt oder geändert wird.
(3) Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
(4) Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO (siehe § 5).
(5) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit dies angemessen ist und der Auftraggeber die Information nicht selbst hat.
(6) Der Auftragnehmer meldet Verletzungen des Schutzes personenbezogener Daten, die den Auftraggeber betreffen, unverzüglich nach Bekanntwerden mit den ihm vorliegenden Informationen (Art, Umfang, mögliche Folgen, ergriffene Maßnahmen).
(7) Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO. Ansprechpartner für den Datenschutz ist der im Impressum genannte Anbieter.
(8) Die Verarbeitung findet in Deutschland statt. Eine Übermittlung in Länder außerhalb der EU oder des EWR erfolgt nicht.
Der Auftragnehmer setzt folgende Maßnahmen um und passt sie bei Bedarf dem Stand der Technik an:
(1) Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter. Zum Zeitpunkt des Vertragsschlusses ist eingesetzt: all-inkl.com – Neue Medien Münnich (Hosting, Datenbank und E-Mail-Versand über SMTP, Server in Deutschland).
(2) Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen mindestens 14 Tage vorher in Textform oder auf dieser Seite. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Bleibt der Widerspruch ungelöst, kann der Auftraggeber den Nutzungsvertrag außerordentlich kündigen.
(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO) und haftet für deren Pflichterfüllung.
(1) Wendet sich ein Betroffener direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und erteilt selbst keine Auskunft.
(2) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen Mitteln, damit dieser Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch) erfüllen kann. Viele Vorgänge kann der Auftraggeber selbst im Dashboard erledigen.
(1) Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage nach, insbesondere durch Auskunft und Beschreibung der Maßnahmen sowie vorhandene Nachweise des Hosters.
(2) Kontrollen vor Ort sind nach Anmeldung mit mindestens 14 Tagen Vorlauf, zu üblichen Geschäftszeiten und ohne Störung des Betriebs möglich. Prüfer sind zur Verschwiegenheit zu verpflichten und dürfen keine Wettbewerber des Auftragnehmers sein.
(3) Der Aufwand des Auftragnehmers für Kontrollen und Unterstützungsleistungen, die über das angemessene Maß hinausgehen, kann nach Aufwand vergütet werden.
(1) Die laufende automatische Löschung und Anonymisierung nach 90 Tagen nach dem Reservierungsdatum gilt als Weisung des Auftraggebers.
(2) Nach Vertragsende gibt der Auftragnehmer die Daten nach Wahl des Auftraggebers heraus (Export in gängigem Format auf Anfrage) oder löscht sie. Die Löschung erfolgt unverzüglich, spätestens innerhalb von 30 Tagen nach Vertragsende oder Löschung des Kontos. Datensicherungen werden mit Ablauf ihres Rotationszyklus überschrieben.
(3) Gesetzliche Aufbewahrungspflichten bleiben unberührt. Betroffene Daten werden dann gesperrt und nur für diesen Zweck aufbewahrt.
Gegenüber Betroffenen haften beide Seiten nach Art. 82 DSGVO. Im Verhältnis zwischen Auftraggeber und Auftragnehmer gelten die Haftungsregelungen der AGB.
(1) Dieser Vertrag kann in Textform (auch elektronisch) geschlossen werden (Art. 28 Abs. 9 DSGVO). Änderungen und Ergänzungen bedürfen der Textform.
(2) Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Datenschutz geht.
(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Anbieters.
(4) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.