Vertrag über die Auftragsverarbeitung (AVV)
gemäß Art. 28 DSGVO · Fassung Oktober 2026
Verantwortlicher (Auftraggeber): das Restaurant, das GastroTap nutzt (Angaben aus der Registrierung bzw. dem Kundenkonto).
Auftragsverarbeiter (Auftragnehmer): Gavril Brindas · GastroTap, Richthofenstraße 53, 70794 Filderstadt, info@gastrotap.app.
Dieser Vertrag wird geschlossen, indem der Auftraggeber ihn bei der Registrierung auf gastrotap.app/start bzw. später in der App akzeptiert. Er gilt für die gesamte Nutzung von GastroTap (Testphase und Vertrag).
§ 1 Gegenstand, Dauer, Art und Zweck
Der Auftragnehmer stellt dem Auftraggeber die Software GastroTap bereit (Bestellungen, Küche/Bar, Rechnungen, Online-Reservierungen, digitale Speisekarte) und verarbeitet dabei personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers, um diese Funktionen bereitzustellen (Speicherung, Anzeige, Versand von Reservierungs-E-Mails und Benachrichtigungen, Datensicherung). Der Vertrag läuft so lange, wie der Auftraggeber GastroTap nutzt.
§ 2 Art der Daten und betroffene Personen
| Betroffene | Daten |
|---|---|
| Gäste des Restaurants | Name, E-Mail, Telefon, Reservierungsdaten (Datum, Uhrzeit, Personen, Tisch), Anmerkungen, Nachrichten an das Restaurant, Besuchshistorie und Notizen des Restaurants; bei Anmeldung mit Google/Apple: Name und E-Mail aus diesem Konto |
| Personal des Restaurants | Name, Rolle, PIN, Bestellungen/Zahlungen unter diesem Namen, Push-Adresse des Geräts |
| Ansprechpartner des Restaurants | Name, Telefon, E-Mail, Nachrichten im Support-Chat |
§ 3 Pflichten des Auftragnehmers
- Verarbeitung nur auf dokumentierte Weisung des Auftraggebers; die Weisungen ergeben sich aus diesem Vertrag und aus den Einstellungen in der App. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.
- Personen mit Zugang zu den Daten sind zur Vertraulichkeit verpflichtet.
- Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO).
- Er unterstützt den Auftraggeber bei Anfragen betroffener Personen (Auskunft, Löschung usw.) und bei seinen Pflichten nach Art. 32–36 DSGVO.
- Verletzungen des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis.
- Die Daten werden nicht für eigene Zwecke verwendet, nicht verkauft und nicht an Dritte weitergegeben, außer an die Unterauftragsverarbeiter nach § 4.
§ 4 Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu (Anlage 2). Über geplante Änderungen informiert der Auftragnehmer den Auftraggeber mindestens 14 Tage vorab per E-Mail oder in der App; der Auftraggeber kann innerhalb dieser Frist aus wichtigem Grund widersprechen. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO; Übermittlungen in Drittländer erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln.
§ 5 Rechte und Pflichten des Auftraggebers
Der Auftraggeber ist für die Zulässigkeit der Verarbeitung und die Information der Gäste verantwortlich (z. B. Datenschutzhinweis auf seiner Website). Er kann sich – nach rechtzeitiger Ankündigung und ohne Störung des Betriebs – von der Einhaltung dieses Vertrags überzeugen; dafür genügen in der Regel schriftliche Auskünfte und die Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate von Google). Den Aufwand für Kontrollen vor Ort trägt der Auftraggeber.
§ 6 Löschung und Rückgabe
Der Auftraggeber kann Daten jederzeit selbst in der App löschen. Nach Ende der Nutzung löscht der Auftragnehmer die Daten des Auftraggebers auf dessen Wunsch, spätestens jedoch 90 Tage nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht besteht. Kopien in technischen Sicherungen werden mit deren regulärem Ablauf gelöscht. Auf Wunsch stellt er vorher einen Export (z. B. Gästeliste als Datei) bereit.
§ 7 Haftung, Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO. Änderungen dieses Vertrags bedürfen der Textform (E-Mail oder Bestätigung in der App). Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.
Anlage 1 – Technische und organisatorische Maßnahmen
- Speicherort: Google Cloud / Firebase, Rechenzentrum Frankfurt am Main (EU).
- Verschlüsselung: Übertragung ausschließlich per HTTPS/TLS; Speicherung bei Google verschlüsselt.
- Zugriffskontrolle: Jedes Restaurant hat ein eigenes Konto (E-Mail + Passwort); Datenbankregeln trennen die Daten der Restaurants strikt; innerhalb des Restaurants Rollen und PIN für das Personal.
- Administration: Zugriff des Auftragnehmers nur über ein eigenes, bestätigtes Admin-Konto und nur, soweit für Betrieb und Support nötig.
- Verfügbarkeit: Hochverfügbare Infrastruktur von Google; Daten werden zusätzlich auf den Geräten zwischengespeichert.
- Datensparsamkeit: keine Analyse- oder Werbe-Tools, keine Tracking-Cookies.
Anlage 2 – Unterauftragsverarbeiter
| Anbieter | Leistung | Ort |
|---|---|---|
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google Firebase / Google Cloud) | Hosting, Datenbank, Anmeldung, Server-Funktionen | EU (Frankfurt); Zugriff aus den USA nicht ausgeschlossen (DPF/SCC) |
| Sendinblue GmbH (Brevo), Köpenicker Straße 126, 10179 Berlin | Versand der Reservierungs-E-Mails | EU |
| Anthropic PBC, San Francisco, USA | Erkennung hochgeladener Speisekarten (nur Speisekarten, keine Gästedaten) | USA (SCC) |
| Apple, Google, Mozilla (Push-Dienste der Geräte) | Zustellung von Benachrichtigungen an das Personal | je nach Gerät |
GastroTap · Gavril Brindas · Richthofenstraße 53, 70794 Filderstadt · info@gastrotap.app