Vertrag über die Auftragsverarbeitung, MenuStudio

Version v1.17_2026-10 · Stand Oktober 2026

Präambel

Dieser Vertrag konkretisiert die Verpflichtungen der Vertragsparteien zur Auftragsverarbeitung gemäß Art. 28 DSGVO, die sich aus der Nutzung der MenuStudio-Plattform ergeben. Er findet Anwendung auf alle Tätigkeiten, bei denen MenuStudio als Auftragsverarbeiter im Auftrag des Kunden mit personenbezogenen Daten in Berührung kommt.

§ 1 Vertragsparteien

Verantwortlicher (Auftraggeber): Der Kunde gemäß Hauptvertrag.

Auftragsverarbeiter (Auftragnehmer): AZARCO, Saeeb Azar, Stapenhorststraße 87, 33615 Bielefeld, hallo@menustudio.de.

§ 2 Gegenstand, Dauer, Art und Zweck

(1) Gegenstand des Auftrags ist die Bereitstellung der MenuStudio-Plattform sowie die hiermit verbundenen Verarbeitungsvorgänge auf Servern unserer Hosting- und Cloud-Anbieter.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags.

(3) Art und Zweck der Verarbeitung: Speicherung und Verwaltung von Stammdaten des Kunden und seiner Mitarbeiter sowie Bereitstellung der Plattform zur Darstellung des gastronomischen Angebots des Kunden in seiner digitalen Speisekarte, einschließlich der Bestellfunktion, soweit der Kunde diese gebucht hat, sowie Führung der digitalen Stempelkarten seiner Gäste, soweit der Kunde diese nutzt.

§ 3 Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Art der Daten:

Stammdaten (Name, Anschrift, E-Mail, Telefon)
Zugangsdaten (E-Mail, gehashtes Passwort, Login-Zeitstempel)
IP-Adressen und Logdaten zur Missbrauchsabwehr
Kartendaten der Gäste bei Nutzung der Stempelkarte (zufälliger Schlüssel, Kartennummer, Stempel, Einlösungen und deren Zeitpunkte; ohne Namen und Kontaktdaten)

(2) Kategorien betroffener Personen:

Geschäftsinhaber und Geschäftsführer des Kunden
Mitarbeiter des Kunden mit Zugang zur Plattform
Gäste des Kunden, die seine digitale Stempelkarte nutzen

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Europäischen Union oder eines Mitgliedstaats verpflichtet ist.

(2) Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung der Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, insbesondere die im Anhang A beschriebenen.

(4) Der Auftragsverarbeiter setzt Unterauftragsverarbeiter nur nach Maßgabe von § 6 ein.

(5) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Wahrnehmung der Rechte der betroffenen Personen sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

(6) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung des Verantwortlichen gegen geltendes Datenschutzrecht verstößt.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anhang A dargestellten technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten und passt diese im Laufe des Vertrags an den Stand der Technik an.

(2) Wesentliche Änderungen der Maßnahmen sind dem Verantwortlichen mitzuteilen.

§ 6 Unterauftragsverarbeitung

(1) Der Verantwortliche stimmt der Beauftragung folgender Unterauftragsverarbeiter zu:

Supabase Inc., 970 Toa Payoh North #07-04, Singapur 318992 (Datenbank, Authentifizierung, Storage, Verarbeitung erfolgt in der EU-Region)
Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland (Zahlungsdienstleister)
Hostinger International Ltd., 61 Lordou Vironos, 6023 Larnaca, Zypern (Hosting, SMTP-Versand)
Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA (Verarbeitung der KI-Funktionen; Übermittlung in die USA auf Grundlage von Standardvertragsklauseln, Einsatz nur auf ausdrückliche Auslösung durch den Verantwortlichen)
GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA (Ablage verschlüsselter Datensicherungen der Datenbank; der Schlüssel liegt ausschließlich beim Auftragsverarbeiter, GitHub hat keinen Zugriff auf die Inhalte; Übermittlung auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln)

(2) Der Auftragsverarbeiter wird neue Unterauftragsverarbeiter mit einer Vorlauffrist von 30 Tagen in Textform anzeigen. Widerspricht der Verantwortliche der Beauftragung innerhalb dieser Frist nicht, gilt die Beauftragung als genehmigt. Bei begründetem Widerspruch steht beiden Parteien ein Sonderkündigungsrecht hinsichtlich der betroffenen Leistungen zu.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben datenschutzrechtlichen Pflichten auf, die für ihn selbst nach diesem Vertrag gelten.

§ 7 Mitwirkung bei Anfragen betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei dessen Pflicht zur Beantwortung von Anfragen betroffener Personen und stellt die hierfür erforderlichen Informationen unverzüglich zur Verfügung.

§ 8 Mitteilung bei Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 72 Stunden, nach Kenntnis einer Verletzung des Schutzes personenbezogener Daten. Die Meldung erfolgt an die im Hauptvertrag hinterlegte E-Mail-Adresse des Verantwortlichen.

§ 9 Kontroll- und Prüfrechte

(1) Der Verantwortliche hat das Recht, sich von der Einhaltung der Pflichten dieses Vertrags zu überzeugen. Der Auftragsverarbeiter stellt hierzu auf Anforderung geeignete Nachweise zur Verfügung, etwa durch Selbstauskünfte, Auditberichte oder anerkannte Zertifizierungen.

(2) Vor-Ort-Prüfungen sind mit einer angemessenen Vorlauffrist von mindestens 14 Tagen während der üblichen Geschäftszeiten möglich. Sie dürfen den Betrieb des Auftragsverarbeiters nicht beeinträchtigen. Die Kosten einer solchen Prüfung trägt der Verantwortliche, sofern nicht erhebliche Verstöße festgestellt werden.

§ 10 Beendigung des Auftrags

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen nach dessen Wahl oder gibt sie zurück. Die Löschung erfolgt spätestens innerhalb von 30 Tagen nach Vertragsende, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Zur Rückgabe kann der Verantwortliche seine Sortimentsdaten exportieren und seine hochgeladenen Bilder gesammelt herunterladen.

(2) Löscht der Verantwortliche sein Konto oder einen Betrieb, löscht der Auftragsverarbeiter die zugehörigen Daten einschließlich hochgeladener Bilder, Logos und Titelbilder unverzüglich aus den Produktivsystemen.

(3) Datensicherungen der Datenbank enthalten keine hochgeladenen Dateien. Sie werden verschlüsselt aufbewahrt, nicht für den laufenden Betrieb genutzt und nach höchstens 180 Tagen überschrieben. Wird eine Datensicherung vor Ablauf dieser Frist wiederhergestellt, führt der Auftragsverarbeiter die zwischenzeitlich erfolgten Löschungen erneut aus.

(4) Dateien, die der Verantwortliche ersetzt oder entfernt und auf die in der Plattform nichts mehr verweist, werden nach einer Sperrfrist von 30 Tagen automatisch gelöscht.

§ 11 Haftung

Es gelten die Haftungsregelungen des Hauptvertrags entsprechend.

§ 12 Schlussbestimmungen

(1) Sollte das Eigentum des Verantwortlichen beim Auftragsverarbeiter durch Maßnahmen Dritter, insbesondere Pfändung oder Insolvenz, gefährdet sein, informiert der Auftragsverarbeiter unverzüglich.

(2) Änderungen und Ergänzungen bedürfen der Textform.

(3) Bei Widersprüchen gehen die Regelungen dieses AVV den Regelungen des Hauptvertrags vor, soweit es um die Verarbeitung personenbezogener Daten geht.

Anhang A, Technische und organisatorische Maßnahmen

Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle: Die Rechenzentren der Unterauftragsverarbeiter sind durch professionelle Maßnahmen vor unbefugtem physischen Zugang geschützt.
Zugangskontrolle: Die Authentifizierung erfolgt über E-Mail und Passwort oder wahlweise über das Google-Konto des Nutzers (OAuth). Passwörter werden ausschließlich gehasht gespeichert (bcrypt) und sind für uns zu keinem Zeitpunkt im Klartext einsehbar. Jeder Nutzer kann eine Zwei-Faktor-Authentifizierung per Authenticator-App einrichten. Für Konten mit Administratorrechten auf Plattformebene wird der zweite Faktor, sobald eingerichtet, auch serverseitig bei jedem Zugriff verlangt.
Zugriffskontrolle: Rollenbasierte Berechtigungen (Super-Admin, Betriebs-Administrator). Datenbankseitig wird Row-Level-Security eingesetzt, sodass Daten verschiedener Betriebe logisch voneinander getrennt sind.
Trennungskontrolle: Logische Mandantentrennung pro Store-ID. Daten unterschiedlicher Kunden sind innerhalb der Anwendung sauber getrennt.

Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Übertragungskontrolle: Sämtliche Verbindungen erfolgen ausschließlich verschlüsselt (TLS 1.2 oder höher).
Eingabekontrolle: Verarbeitungsvorgänge sind durch Audit-Logs nachvollziehbar.

Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Verfügbarkeitskontrolle: Tägliche Datensicherungen durch den Datenbank-Provider (Aufbewahrung 7 Tage) und zusätzlich wöchentliche, verschlüsselte Sicherungen an einem getrennten Ort (Aufbewahrung höchstens 180 Tage). Hochgeladene Dateien sind nicht Teil der Sicherungen.
Löschung: Dateien eines gelöschten Kontos werden unverzüglich entfernt. Dateien, auf die nichts mehr verweist, werden nach einer Sperrfrist von 30 Tagen automatisch gelöscht. Eine Plausibilitätsprüfung verhindert Massenlöschungen durch fehlerhafte Zuordnung. Das Anlegen von Inhalten ist je Betrieb und Stunde begrenzt, um fehlerhafte Importe und Missbrauch abzufangen.
Wiederherstellung: Wiederherstellbarkeit der Daten ist innerhalb angemessener Frist gewährleistet.

Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

Datenschutz-Management: Auftragsverarbeiter und Unterauftragsverarbeiter unterhalten dokumentierte Sicherheitsmaßnahmen.
Incident-Response: Definierter Prozess zur Meldung und Behebung von Sicherheitsvorfällen.