Auftragsverarbeitungsvertrag (AVV)
Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen der Restaurantbetreiberin oder dem Restaurantbetreiber (Verantwortliche / Auftraggeberin) und Lisa Dietrich Design, Lisa Dietrich, Egelseestraße 47, 6800 Feldkirch (Auftragnehmerin).
1. Gegenstand der Vereinbarung
Gegenstand ist die Bereitstellung der digitalen Speisekarten-Plattform Schmeckt. durch die Auftragnehmerin für die Auftraggeberin, einschließlich Hosting individuell gestalteter Speisekarten, Pflege durch die Auftraggeberin im Backend, Versand transaktionaler E-Mails, Bereitstellung KI-gestützter Funktionen (Bilderzeugung, Übersetzung, Textbeschreibungen) sowie der damit verbundenen Speicher- und Anzeigefunktionen. Diese Vereinbarung ergänzt die Schmeckt.-Nutzungsbedingungen (AGB) und geht diesen in Fragen der Auftragsverarbeitung vor.
1.1 Datenkategorien: Kontakt- und Stammdaten der Auftraggeberin und ihrer Mitarbeiter:innen; Login-und Authentifizierungsdaten (E-Mail, gehashte Passwörter, Session-Tokens); Karten- und Inhaltsdaten (Gerichtsbezeichnungen, Beschreibungen, Preise, Allergene, Bilder); KI-Eingabedaten; Rechnungs-und Zahlungsdaten; technische Zugriffsdaten der Gäste (IP-Adresse, Browser, Zeitstempel).
1.2 Betroffene Personen: die Auftraggeberin und ihre Mitarbeiter:innen mit Backend-Zugang sowie Gäste, die die Speisekarte aufrufen (ohne Profilbildung; technische Zugriffsdaten werden pseudonym verarbeitet und nach 30 Tagen gelöscht).
2. Dauer
Die Vereinbarung wird auf unbestimmte Zeit geschlossen und kann von beiden Parteien mit einer Frist von 30 Tagen zum Monatsende ordentlich gekündigt werden. Die außerordentliche Kündigung aus wichtigem Grund bleibt unberührt. Die Vereinbarung endet automatisch mit der Beendigung der Schmeckt.-Nutzung durch die Auftraggeberin.
3. Weisungsrecht
Die Auftragnehmerin verarbeitet personenbezogene Daten ausschließlich im Rahmen der dokumentierten Weisungen der Auftraggeberin, sofern sie nicht durch das Recht der EU oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt sie der Auftraggeberin diese rechtlichen Anforderungen vor der Verarbeitung mit, soweit das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Weisungen erfolgen grundsätzlich in Textform. Als dokumentierte Weisungsgrundlage gelten diese Vereinbarung, die Schmeckt.-Nutzungsbedingungen sowie die durch die Auftraggeberin im Backend selbst vorgenommenen Konfigurationen und die Inhaltspflege. Mündlich erteilte Weisungen sind von der Auftraggeberin unverzüglich in Textform zu bestätigen. Erhält die Auftragnehmerin einen behördlichen Auftrag zur Datenherausgabe, informiert sie die Auftraggeberin unverzüglich, soweit gesetzlich zulässig. Die Auftragnehmerin informiert die Auftraggeberin unverzüglich, wenn sie der Ansicht ist, eine Weisung verstoße gegen datenschutzrechtliche Bestimmungen.
4. Pflichten der Auftragnehmerin
Die Auftragnehmerin verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit oder unterstellt sie einer angemessenen gesetzlichen Verschwiegenheitsverpflichtung; dies gilt auch nach Beendigung der Tätigkeit.
Die Auftragnehmerin hat die erforderlichen technischen und organisatorischen Maßnahmen zur Sicherheit der Verarbeitung nach Art. 32 DSGVO getroffen (Anlage 1).
Die Auftragnehmerin unterstützt die Auftraggeberin bei der Wahrnehmung der Betroffenenrechte nach Kapitel III DSGVO sowie bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Datensicherheit, Meldung von Datenpannen, Benachrichtigung Betroffener, Datenschutz-Folgeabschätzung, vorherige Konsultation). Werden Betroffenenanfragen direkt an die Auftragnehmerin gerichtet, leitet sie diese unverzüglich an die Auftraggeberin weiter. Die Auftragnehmerin weist darauf hin, dass die Auftraggeberin nach Art. 30 DSGVO ein eigenes Verarbeitungsverzeichnis zu führen hat.
5. Kontroll- und Auditrechte
Der Auftraggeberin steht das Recht zu, die Einhaltung dieser Vereinbarung zu kontrollieren. Die Kontrolle erfolgt vorrangig durch schriftliche Auskünfte der Auftragnehmerin sowie durch Einsicht in die durch die Sub-Auftragsverarbeiter ausgestellten Compliance-Dokumente, Zertifizierungen und Prüfberichte (siehe Punkt 7). Darüber hinausgehende Vor-Ort-Prüfungen sind nach vorheriger Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten, ohne Beeinträchtigung des Betriebs und in der Regel höchstens einmal jährlich zulässig; bei konkretem Anlass (etwa nach einer Datenpanne oder auf Verlangen einer Aufsichtsbehörde) auch häufiger. Die Auftraggeberin trägt die ihr durch eine Vor-Ort-Prüfung entstehenden Kosten selbst und wahrt die Vertraulichkeit der dabei erlangten Informationen.
6. Ort der Verarbeitung und Drittlandübermittlung
Die Verarbeitung erfolgt grundsätzlich innerhalb des Europäischen Wirtschaftsraums (EWR). Die eingesetzten Sub-Auftragsverarbeiter haben ihren Sitz im EWR oder verarbeiten Daten in EU-Rechenzentren. Soweit ein Sub-Auftragsverarbeiter (insbesondere Lovable Labs Incorporated) seinen Sitz außerhalb des EWR hat, erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien nach Art. 46 DSGVO, insbesondere der EU-Standardvertragsklauseln (Module 2 und 3), ergänzt um das EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist.
Bei KI-gestützten Funktionen über den Lovable AI Gateway können Anfragen an Modelle weitergeleitet werden, deren Anbieter (etwa Google oder OpenAI) ihren Sitz in den USA haben; für diese Übermittlungen gelten die Standardvertragsklauseln (Durchführungsbeschluss 2021/914) sowie, soweit zertifiziert, das EU-US Data Privacy Framework. Entfällt eine herangezogene Transfergrundlage, arbeiten die Parteien zusammen, um unverzüglich eine geeignete Alternative herzustellen; bis dahin kann die betroffene Verarbeitung ausgesetzt werden.
7. Sub-Auftragsverarbeiter
Die Auftraggeberin erteilt der Auftragnehmerin die allgemeine Genehmigung zur Heranziehung von Sub-Auftragsverarbeitern nach Art. 28 Abs. 2 DSGVO. Zum Zeitpunkt des Vertragsabschlusses werden eingesetzt: Lovable Labs Incorporated (Dover, Delaware, USA; EU-Vertreterin: Lovable Labs AB, Stockholm): Plattform-Hosting, Backend-Infrastruktur, KI-Funktionen über den Lovable AI Gateway, Versand transaktionaler E-Mails; Hosting in EU-Rechenzentren (Irland). US-Übermittlung auf Grundlage der EU-Standardvertragsklauseln (Module 2 und 3); AVV nach Art. 28 DSGVO liegt vor.
Supabase Inc. (San Francisco, USA, mit EU-Region Irland): Datenbank, Authentifizierung, Speicher; von Lovable als deren Sub-Auftragsverarbeiter eingesetzt, mittelbarer Sub-Auftragsverarbeiter der Auftragnehmerin. Standardvertragsklauseln und EU-US Data Privacy Framework.
Paddle Payments Limited (Dublin, Irland): Merchant of Record für kostenpflichtige Pläne; Rechnungsstellung, Zahlungsabwicklung und Umsatzsteuer-Abführung. Paddle agiert als eigenständig Verantwortlicher, nicht als Auftragsverarbeiter. Übermittlungen innerhalb der Paddle-Gruppe (UK, USA, Kanada) über Adequacy-Beschlüsse, Standardvertragsklauseln und Data Privacy Framework. Datenschutz: paddle.com/legal/privacy.
Die jeweils aktuelle Liste wird unter schmeckt.online/datenschutz/subdienstleister geführt. Beabsichtigte Änderungen (Aufnahme oder Austausch eines Sub-Auftragsverarbeiters) teilt die Auftragnehmerin der Auftraggeberin mindestens 14 Tage vor Wirksamwerden in Textform mit. Die Auftraggeberin kann der Änderung binnen 14 Tagen ab Zugang der Mitteilung aus wichtigem, datenschutzbezogenem Grund widersprechen. Im Falle eines berechtigten Widerspruchs, der eine Fortsetzung der Verarbeitung verhindert, steht der Auftraggeberin ein außerordentliches Kündigungsrecht zu. Die Auftragnehmerin verpflichtet Sub-Auftragsverarbeiter nach Art. 28 Abs. 4 DSGVO auf dieselben Datenschutzpflichten und haftet der Auftraggeberin gegenüber für deren Einhaltung.
8. Rückgabe und Löschung nach Vertragsende
Nach Beendigung dieser Vereinbarung gibt die Auftragnehmerin die Verarbeitungsergebnisse zurück oder löscht sie nach Wahl der Auftraggeberin. Die Daten werden auf Wunsch in einem gängigen, maschinenlesbaren Format (z. B. JSON, PDF) bereitgestellt. Die Auftraggeberin hat innerhalb von 30 Tagen nach Vertragsende Gelegenheit zum Export; danach werden alle Daten gelöscht. Backups dürfen für maximal 90 weitere Tage bestehen bleiben, danach werden sie ebenfalls gelöscht.
Die Auftragnehmerin bestätigt der Auftraggeberin auf deren Verlangen die vollständige Löschung sämtlicher personenbezogener Daten einschließlich aller Sicherungskopien (Backups) in Textform unter Angabe des Zeitpunkts der abgeschlossenen Löschung. Gesetzliche Aufbewahrungsfristen (insbesondere § 132 BAO, sieben Jahre für Rechnungen) bleiben unberührt; für diese Dauer wird die Verarbeitung eingeschränkt.
9. Technisch-organisatorische Maßnahmen (Anlage 1)
Schmeckt. ist eine vollständig cloud-basierte SaaS-Plattform; personenbezogene Daten werden nicht auf lokalen Datenträgern der Auftragnehmerin gespeichert. Zum Einsatz kommen unter anderem: sichere Passwortrichtlinie und Passwort-Hashing (bcrypt/Argon2id), verfügbare Zwei-Faktor-Authentifizierung, verschlüsselte Übertragung über HTTPS/TLS 1.2+, Session-Timeout, Verschlüsselung in Ruhe (Supabase EU-Region); rollenbasiertes Berechtigungssystem, serverseitige Rechteprüfung, Protokollierung sicherheitsrelevanter Zugriffe (Audit-Log, zwölf Monate), Need-to-know-Prinzip, quartalsweise Überprüfung der Zugriffsrechte; HSTS, Content Security Policy, Sicherheits-Header, Input-Validierung und Sanitization; Versionierung der Karteninhalte, Logging von Login-Versuchen; tägliche verschlüsselte Datenbank-Backups (30 Tage), wöchentliche Bild-Backups, Backup-Speicherung in EU-Rechenzentren, quartalsweise Wiederherstellungstests, Firewall und DDoS-Schutz, Rate-Limiting, Monitoring mit Alarmierung; dokumentierter Incident-Response-Plan mit 72-Stunden-Meldekette, Privacy by Default, wöchentliche Sicherheits-Updates, EU-First-Auswahl der Sub-Auftragsverarbeiter mit SCC/DPF. Die Auftragnehmerin passt die Maßnahmen dem Stand der Technik an; Anpassungen, die das Schutzniveau erheblich verringern würden, werden vorab mitgeteilt. Schmeckt. · AVV · Überarbeitete Fassung Juli 2026. Unterzeichnung durch beide Parteien mit Ort und Datum.
Die deutsche Fassung ist die rechtsverbindliche.