adisyo

Art. 28 DSGVO

Auftragsverarbeitung

Vertrag über die Verarbeitung personenbezogener Daten, die Restaurants mit adisyo zu ihren Gästen und Beschäftigten verarbeiten.

Stand: Oktober 2026

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden (Restaurant, nachfolgend „Verantwortlicher“) und Onur Bolatcan, Moabiter Straße 4, 65205 Wiesbaden, Deutschland (nachfolgend „Auftragsverarbeiter“). Dieser Vertrag wird mit Abschluss des Nutzungsvertrags über die Plattform adisyo in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO) und ist Bestandteil der AGB.

1.Gegenstand und Dauer

  1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Software-Plattform adisyo (Software as a Service), einschließlich Betrieb, Datensicherung, Wartung und Support.
  2. Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags einschließlich eines Testzeitraums und der Frist zur Rückgabe und Löschung nach Ziffer 11.

2.Art, Zweck, Daten und Betroffene

Art und Zweck der Verarbeitung ist das Speichern, Anzeigen, Übermitteln, Auswerten und Löschen von Daten, die der Verantwortliche zur Organisation seines Gastronomiebetriebs in adisyo verarbeitet. Die Einzelheiten ergeben sich aus Anlage 1.

3.Weisungen

  1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
  2. Weisungen sind der Nutzungsvertrag, dieser Vertrag und die Einstellungen und Aktionen, die der Verantwortliche in der Plattform vornimmt. Weitere Weisungen erteilt der Verantwortliche in Textform.
  3. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin. Er darf die Ausführung der Weisung bis zu ihrer Bestätigung oder Änderung aussetzen.

4.Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den Bestimmungen des Datenschutzes vertraut gemacht wurden. Der Zugriff auf Daten des Verantwortlichen erfolgt nur, soweit dies für die Leistungserbringung, den Support oder die Störungsbeseitigung erforderlich ist, und wird protokolliert.

5.Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, die in Anlage 2 beschrieben sind. Er darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

6.Unterauftragsverarbeiter

  1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.
  2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vorab in Textform über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen. Kommt keine Einigung zustande, können beide Parteien den Nutzungsvertrag zum Zeitpunkt des Einsatzes des neuen Unterauftragsverarbeiters kündigen.
  3. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.
  4. Dienste, die der Verantwortliche selbst beauftragt und in adisyo einbindet (zum Beispiel Stripe, fiskaly, Anthropic für KI-Funktionen mit eigenem API-Schlüssel, ein eigener Mailserver), sind keine Unterauftragsverarbeiter des Auftragsverarbeiters.

7.Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO. Die Plattform stellt hierfür Funktionen zur Einsicht, Berichtigung, Löschung und zum Export bereit; Gäste können ihre Treuekarte selbst löschen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Ersuchen unverzüglich an den Verantwortlichen weiter.

8.Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, und unterstützt ihn bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und ungefähre Zahl der Betroffenen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Maßnahmen.

9.Weitere Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Durchführung einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 35 und 36 DSGVO).

10.Nachweise und Kontrollen

  1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen und Nachweise der Unterauftragsverarbeiter (zum Beispiel Zertifikate).
  2. Der Verantwortliche kann Überprüfungen einschließlich Inspektionen durch sich selbst oder einen zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Anmeldung, in der Regel mindestens drei Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebs durchführen. Vor-Ort-Prüfungen in Rechenzentren von Unterauftragsverarbeitern werden durch deren Zertifikate und Prüfberichte ersetzt.

11.Rückgabe und Löschung

Nach Ende des Nutzungsvertrags kann der Verantwortliche seine Daten 30 Tage lang exportieren oder als Datenbanksicherung anfordern. Danach löscht der Auftragsverarbeiter sämtliche Daten des Verantwortlichen einschließlich aller Dateien, sofern nicht nach dem Unionsrecht oder dem Recht eines Mitgliedstaats eine Verpflichtung zur Speicherung besteht. Daten in Datensicherungen werden im Rahmen der regulären Rotation nach spätestens 14 Tagen überschrieben. Die Löschung wird auf Anfrage bestätigt.

12.Haftung und Schlussbestimmungen

  1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB.
  2. Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen gehen die Regelungen dieses Vertrags zum Datenschutz vor.
  3. Änderungen dieses Vertrags bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
  4. Es gilt deutsches Recht. Gerichtsstand ist der in den AGB vereinbarte Ort.

Anlage 1: Daten, Betroffene und Zwecke

BetroffeneDatenkategorienZweck (Funktion)
Beschäftigte des VerantwortlichenName, Rolle, Berechtigungen, Sprache, Profilfoto (optional), PIN und Verwaltungspasswort (nur als Hash), Authenticator-Schlüssel (verschlüsselt), Anmeldezeitpunkte, Geräte, Arbeitszeiten, Dienstplan, Abwesenheiten, Urlaubswünsche, Tausch- und Krankmeldungen, zugeordnete Bestellungen, Umsätze, Stornierungen und Servicezeiten; bei Fahrern zusätzlich Fahrzeug, Schichten, Lieferungen, gefahrene Kilometer, kassiertes Bargeld und Trinkgeld sowie der Standort während Schicht und LieferungAnmeldung, Bestellaufnahme, Zeiterfassung, Dienstplanung, Team- und Mitarbeiterauswertungen, Protokollierung, Live-Verfolgung von Lieferungen
GästeBestellungen und Tischzuordnung, digitale Belege, Zahlungsart und Beträge; bei Reservierungen Name, Telefonnummer, E-Mail, Personenzahl, Anmerkungen, Besuchs- und Nichterscheinen-Historie, VIP-Kennzeichen; bei Online-Bestellungen Name, Telefonnummer, E-Mail, Lieferadresse und deren Koordinaten, Bestellinhalt, Zahlungsstatus; bei Treuekarten E-Mail, Name (optional), Punkte, eingelöste Prämien; Bewertungen (Sterne, Freitext); Gutscheine (Käufername und E-Mail optional)Bestell- und Kassenabwicklung, Reservierung, Online-Bestellung und Lieferung, Treueprogramm, Bewertungen, Gutscheine, Benachrichtigungen
Geräte am Tisch (QR-Bestellung)zufällige Gerätekennung, Zeitpunkt, bestellter TischZuordnung von Selbstbestellungen, Missbrauchsschutz
Lieferanten und AnsprechpartnerName auf Rechnungen und Lieferscheinen, RechnungsinhalteWareneingang und Lagerverwaltung (optional, auch per KI-Einlesen)

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht planmäßig verarbeitet. Freitextfelder (zum Beispiel Anmerkungen zu Reservierungen) sollen keine Gesundheitsangaben enthalten; Allergiehinweise für Speisen werden produktbezogen und nicht personenbezogen geführt.

Anlage 2: Technische und organisatorische Maßnahmen

Vertraulichkeit

  • Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland (ISO/IEC 27001) mit Zugangskontrolle, Videoüberwachung und Sicherheitspersonal; keine eigenen Server in Büroräumen.
  • Zugangskontrolle: Server-Zugang ausschließlich über kryptografische SSH-Schlüssel, Anmeldung per Passwort deaktiviert; Firewall mit ausschließlich benötigten Ports; automatische Sperre von IP-Adressen nach wiederholten Fehlversuchen; Verwaltungszentrale nur mit Passwort und Zwei-Faktor-Authentifizierung.
  • Zugriffskontrolle: Rollen- und Rechtekonzept in der Plattform (Service, Küche, Kasse, Verwaltung mit abgestuften Berechtigungen); Verwaltungsbereiche zusätzlich durch Passwort oder Authenticator geschützt; Begrenzung von Anmeldeversuchen; Sitzungen und Gerätecookies kryptografisch signiert und an den jeweiligen Betrieb gebunden.
  • Trennungskontrolle: eigene Datenbank und eigener Dateiordner für jeden Kunden (Mandantentrennung); Zugriffe über die Adresse strikt auf den jeweiligen Kunden beschränkt; getrennte Test- und Produktivumgebungen.
  • Verschlüsselung und Pseudonymisierung: Transportverschlüsselung per TLS für alle Verbindungen; PINs und Passwörter ausschließlich als Hash; Zugangsschlüssel zu Diensten Dritter (zum Beispiel SMTP, Stripe, KI) verschlüsselt gespeichert.

Integrität

  • Weitergabekontrolle: Übertragung nur verschlüsselt; Datenexporte nur durch berechtigte Verwaltungsnutzer; Datenbanksicherungen verbleiben auf dem Server und werden nicht per unverschlüsselter E-Mail versendet.
  • Eingabekontrolle: Protokollierung relevanter Vorgänge (zum Beispiel Stornierungen, Änderungen an Preisen und Rechten, Anmeldungen, Support-Zugriffe mit Zeitpunkt und handelnder Person).

Verfügbarkeit und Belastbarkeit

  • tägliche automatische Datensicherung je Kunde mit 14 Tagen Aufbewahrung, zusätzlich Sicherungen der gesamten Server durch den Rechenzentrumsbetreiber;
  • automatische Sicherheitsupdates des Betriebssystems; versionierte Auslieferung neuer Softwarestände mit Möglichkeit zur sofortigen Rückkehr zur Vorversion;
  • Schutz gegen Überlastung durch Ressourcenbegrenzung; redundante Stromversorgung und Netzanbindung im Rechenzentrum.

Verfahren zur regelmäßigen Überprüfung

  • Überprüfung der Maßnahmen bei wesentlichen Änderungen, mindestens einmal jährlich;
  • Datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO), zum Beispiel automatische Löschung alter Reservierungsdaten nach einer vom Kunden festgelegten Frist;
  • dokumentiertes Vorgehen bei Sicherheitsvorfällen einschließlich Meldung nach Ziffer 8.

Anlage 3: Unterauftragsverarbeiter

UnternehmenLeistungOrt der Verarbeitung
Hetzner Online GmbH, Industriestr. 25, 91710 GunzenhausenRechenzentrum, Serverbetrieb, DatensicherungDeutschland (Nürnberg)
OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich (Nominatim)Umwandlung von Lieferadressen in Kartenkoordinaten im Lieferdienst-Modul (nur die Adresse; kein Name, keine Telefonnummer)Vereinigtes Königreich (Angemessenheitsbeschluss der EU)
Ort, Datum, Unterschrift Verantwortlicher (Restaurant)
Ort, Datum, Unterschrift Auftragsverarbeiter (Onur Bolatcan)

Eine Unterschrift ist nicht zwingend erforderlich: Der Vertrag kann nach Art. 28 Abs. 9 DSGVO auch elektronisch geschlossen werden, etwa durch Annahme bei Vertragsschluss. Auf Wunsch stellen wir ihn zur Unterschrift bereit.