Auftragsverarbeitungsvertrag

nach Art. 28 DSGVO · Fassung 2026-08-28

§ 1 Gegenstand und Dauer

1. Dieser Vertrag konkretisiert die Pflichten der Parteien aus Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Rahmen des zwischen den Parteien geschlossenen Hauptvertrags (Nutzung der Gastovia-Plattform, AGB in der jeweils gültigen Fassung) im Auftrag des Verantwortlichen vornimmt.
2. Der Vertrag beginnt mit dem Vertragsschluss über die Gastovia-Plattform und endet mit Beendigung des Hauptvertrags. Kündigungsrechte des Hauptvertrags gelten entsprechend; dieser Vertrag kann nicht isoliert gekündigt werden.
3. Bei Widerspruch zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Datenschutzfragen vor.
4. Maßgeblich ist die Fassung, die im Zeitpunkt des Vertragsschlusses unter www.gastovia.de/avv veröffentlicht war. Der Auftragsverarbeiter protokolliert beim Abschluss Zeitpunkt und Versionskennung der angezeigten Fassung und hält sie im Konto des Verantwortlichen abrufbar.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Zweck: Bereitstellung und Betrieb der Gastovia-Plattform für den Verantwortlichen — insbesondere Entgegennahme, Verwaltung und Bestätigung von Tischreservierungen, Führung des Gästebuchs und des Tagesplans sowie, nach Freischaltung, Verkauf und Einlösung von Gutscheinen, Geschenkboxen, Produkten und Event-Tickets.
2. Art der Verarbeitung: Erheben, Speichern, Organisieren, Auslesen, Verwenden, Übermitteln (Versand von Bestätigungs- und Erinnerungsnachrichten), Einschränken und Löschen.
3. Ort der Verarbeitung: Anwendung, Programmierschnittstelle, Datenbank, Authentifizierung und Dateiablage werden ausschließlich in Rechenzentren in Frankfurt am Main betrieben (Google Cloud Region europe-west3, Supabase Region eu-central-1). Der Versand von System- und Reservierungsnachrichten erfolgt über die EU-Region des beauftragten Mail-Dienstleisters. Zustellprotokolle und Metadaten dieses Versands werden in den Vereinigten Staaten verarbeitet; hierfür gilt § 7a. Eine darüber hinausgehende Verarbeitung in einem Drittland findet nicht statt.

§ 3 Kategorien betroffener Personen und Datenarten

Betroffene Personen: Gäste und Endkunden des Verantwortlichen; Mitarbeiter des Verantwortlichen mit Plattformzugang.

Kategorie	Beispiele
Reservierungsdaten	Name, E-Mail, Telefonnummer, Datum, Uhrzeit, Personenzahl, Tischzuordnung, Status
Freitextangaben	Anmerkungen des Gastes zur Reservierung, Notizen des Betriebs
Gästehistorie	frühere Reservierungen, No-Show-Kennzeichnung, Stammgast-Merkmal
Bestell- und Gutscheindaten (nach Freischaltung)	Käufername, E-Mail, Rechnungsadresse, Bestellinhalt, Gutschein-Code, Einlösestatus
Nutzerkonten des Betriebs	Name, dienstliche E-Mail, Rolle, Anmeldezeitpunkte

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Trägt ein Gast von sich aus solche Angaben in ein Freitextfeld ein (etwa eine Unverträglichkeit), verarbeitet der Auftragsverarbeiter sie ausschließlich im Rahmen der Reservierung; der Verantwortliche bleibt für die Rechtsgrundlage verantwortlich.

Zahlungsdaten sind nicht Gegenstand dieses Vertrags: Kartendaten der Endkunden werden ausschließlich von Stripe verarbeitet. Stripe ist insoweit eigenständig Verantwortlicher, nicht Unterauftragsverarbeiter von Gastovia (vgl. AGB § 6).

§ 4 Weisungsrecht

1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Plattform gemäß ihrer Funktionsbeschreibung gilt als Weisung; darüber hinausgehende Weisungen erfolgen in Textform an ak@gastovia.com.
2. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er eine Weisung für rechtswidrig hält, und darf ihre Ausführung bis zur Klärung aussetzen.
3. Eine Verarbeitung zu eigenen Zwecken — insbesondere für eigenes Marketing oder zum Training von KI-Modellen — findet nicht statt. Statistische Auswertungen erfolgen ausschließlich anonymisiert und ohne Personenbezug.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet jede zur Verarbeitung eingesetzte Person schriftlich auf Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegt, und stellt ihre datenschutzrechtliche Unterweisung sicher. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

§ 6 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.
2. Anlage 2 beschreibt den Stand zum Zeitpunkt der jeweiligen Fassung dieses Vertrags. Maßnahmen dürfen fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert und in der jeweils veröffentlichten Fassung ausgewiesen. Eine Verschlechterung gegenüber der bei Vertragsschluss geltenden Anlage 2 ist nur mit Zustimmung des Verantwortlichen zulässig.

§ 7 Unterauftragsverarbeiter

1. Der Verantwortliche stimmt dem Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter zu.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage vor Beauftragung eines weiteren oder Austausch eines bestehenden Unterauftragsverarbeiters in Textform. Der Verantwortliche kann binnen dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen; lässt sich der Einwand nicht ausräumen, kann er den Hauptvertrag zum geplanten Wirksamkeitszeitpunkt außerordentlich kündigen.
3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf dieselben Pflichten und haftet für dessen Verhalten wie für eigenes.

§ 7a Übermittlung in Drittländer

1. Die in § 2 Abs. 3 genannte Verarbeitung von Zustellprotokollen und Metadaten des Mail-Versands in den Vereinigten Staaten stellt eine Übermittlung in ein Drittland im Sinne der Art. 44 ff. DSGVO dar.
2. Sie erfolgt auf Grundlage des mit dem Dienstleister geschlossenen Auftragsverarbeitungsvertrags einschließlich der Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 3 — Auftragsverarbeiter an Unter-Auftragsverarbeiter).
3. Umfang der Übermittlung: Empfängeradresse, Absenderadresse, Betreffzeile, Zeitpunkt und Zustellstatus der Nachricht sowie technische Protokolldaten des Versands. Inhalte von Reservierungen werden nur insoweit übermittelt, als sie Bestandteil der versendeten Nachricht sind. Der Nachrichtenversand selbst erfolgt über die EU-Region des Dienstleisters.
4. Ergänzende Maßnahmen: Transportverschlüsselung auf allen Übertragungswegen, Beschränkung der übermittelten Daten auf das für den Versand Erforderliche, Löschung der Protokolldaten nach den Aufbewahrungsfristen des Dienstleisters.
5. Der Auftragsverarbeiter prüft die Rechtsgrundlage der Übermittlung anlassbezogen, insbesondere bei Änderungen der Rechtslage, und informiert den Verantwortlichen, wenn sie entfällt.

§ 8 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich weiter und beantwortet sie nicht selbst.
2. Er unterstützt den Verantwortlichen bei den Pflichten aus Art. 32–36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und Meldungen an die Aufsichtsbehörde.
3. Datenschutzverletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis in Textform, einschließlich der ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Verantwortlichen.

§ 9 Nachweise und Kontrollen

1. Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage nach — vorrangig durch aktuelle Dokumentation, Zertifikate oder Prüfberichte.
2. Genügt das nicht, kann der Verantwortliche nach Ankündigung mit angemessener Frist (in der Regel 4 Wochen) während der üblichen Geschäftszeiten eine Kontrolle durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Auftragsverarbeiters ist. Höchstens eine Kontrolle je Kalenderjahr, außer bei konkretem Anlass.

§ 10 Löschung und Rückgabe

1. Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Verantwortlichen auf Anforderung innerhalb von 30 Tagen einen vollständigen Export der Daten in einem gängigen maschinenlesbaren Format bereit (Reservierungs-, Gäste-, Bestell- und Gutscheindaten).
2. Danach löscht er die Daten spätestens 90 Tage nach Vertragsende einschließlich aller Kopien. Bestehen zu diesem Zeitpunkt Sicherungskopien (Anlage 2 Nr. 6), werden sie im Rahmen des regulären Sicherungszyklus, spätestens jedoch 30 Tage nach der Löschung im Produktivbestand, überschrieben. Gesetzliche Aufbewahrungspflichten bleiben unberührt; solche Daten werden gesperrt statt gelöscht.
3. Die Einlöse-Prüfseite für ausgegebene Gutscheine bleibt gemäß AGB § 7 Abs. 3 für 12 Monate nach Vertragsende verfügbar; hierfür werden ausschließlich Gutschein-Code, Wert und Status vorgehalten.
4. Die Löschung wird auf Verlangen in Textform bestätigt.

§ 11 Haftung

Es gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags.

§ 12 Schlussbestimmungen

Änderungen bedürfen der Textform. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 — Unterauftragsverarbeiter

Stand 2026-08-28.

Dienstleister	Leistung	Ort der Verarbeitung
Google Ireland Ltd. / Google Cloud EMEA	Betrieb der Plattform-Anwendung und der Programmierschnittstelle (Cloud Run), Aufgabenplanung (Cloud Tasks), Dateiablage (Cloud Storage), Schlüsselverwaltung (Secret Manager)	Frankfurt am Main, Region europe-west3. Vorgelagerte Lastverteilung, Angriffsschutz und Auslieferungsnetz (Cloud Load Balancing, Cloud Armor, Cloud CDN) sind global verfügbare Dienste; die Verarbeitung der Inhalte findet in europe-west3 statt.
Supabase (Supabase Inc.)	Datenbank, Authentifizierung und Dateispeicher der Plattform	Frankfurt am Main, Region eu-central-1
Resend (Plus Five Five, Inc.)	Versand von Reservierungs-, Erinnerungs- und Systemnachrichten	Versand über die EU-Region eu-west-1. Zustellprotokolle und Metadaten werden in den Vereinigten Staaten verarbeitet — siehe § 7a.
Cloudflare Germany GmbH / Cloudflare, Inc.	Auslieferung der öffentlichen Web-Seiten (www.gastovia.de)	EU-Rechenzentren
Google Ireland Ltd. (Google Workspace)	E-Mail-Kommunikation zwischen Auftragsverarbeiter und Verantwortlichem	EU

Nicht Unterauftragsverarbeiter: Stripe — eigenständig Verantwortlicher für Zahlungsdaten der Endkunden (AGB § 6). HubSpot — verarbeitet Interessenten- und Kundendaten des Auftragsverarbeiters, nicht Gästedaten des Verantwortlichen. Im Kundenbereich wird der Chat- und Analyse-Loader ausschließlich nach aktivem Klick des Nutzers geladen; die Erfassung von Formularinhalten ist kontoweit abgeschaltet.

Anlage 2 — Technische und organisatorische Maßnahmen

nach Art. 32 DSGVO · Stand 2026-08-28. Diese Anlage beschreibt, was tatsächlich umgesetzt ist. Nicht umgesetzte Maßnahmen sind als solche benannt.

1. Zutrittskontrolle

Die Verarbeitung erfolgt ausschließlich in Rechenzentren der in Anlage 1 genannten Anbieter. Physische Sicherheit und Zutrittskontrolle richten sich nach deren Zertifizierungen; eigene Serverräume betreibt der Auftragsverarbeiter nicht.

2. Zugangskontrolle

Anmeldung über den Authentifizierungsdienst mit E-Mail und Passwort. Passwörter werden ausschließlich als bcrypt-Hash gespeichert; ein Klartextpasswort wird zu keinem Zeitpunkt entgegengenommen oder gespeichert.

Nicht umgesetzt: Zwei-Faktor-Authentisierung ist nicht aktiviert. Eine harte Kontosperre nach fehlgeschlagenen Anmeldeversuchen besteht nicht; wirksam ist eine Begrenzung auf 30 Anmeldeversuche je fünf Minuten und IP-Adresse.

3. Zugriffskontrolle und Mandantentrennung

Rollen- und Rechtekonzept je Betrieb. Die Trennung der Daten verschiedener Betriebe wird in der Datenbank selbst durchgesetzt (PostgreSQL Row Level Security, default deny auf jeder mandantenbezogenen Tabelle). Der Mandantenbezug hängt an einer transaktionslokalen Variablen, die in derselben Transaktion gesetzt wird wie die Abfrage, so dass er über gemeinsam genutzte Verbindungen nicht überlaufen kann. Die Durchsetzung erfolgt in der Datenbank, nicht im Anwendungscode. Ein automatisierter Negativtest in der Auslieferungsprüfung stellt sicher, dass ein mandantenübergreifender Zugriff fehlschlägt; schlägt er nicht fehl, wird die Änderung nicht ausgeliefert.

4. Übertragungskontrolle

Alle Verbindungen ausschließlich über TLS. Die Anwendung liefert HTTP Strict Transport Security (zwei Jahre, einschließlich Subdomains), eine Content Security Policy mit frame-ancestors 'none', x-content-type-options: nosniff und eine Referrer-Policy aus. Suchmaschinen sind auf allen Seiten der Anwendung durch robots.txt und noindex ausgeschlossen.

5. Eingabekontrolle

Nicht umgesetzt: Ein durchgängiger Änderungsnachweis (Protokollierung von Anlage, Änderung und Löschung einzelner Datensätze) besteht nicht. Protokolliert werden Datenimporte als Sammelvorgang sowie der Abschluss der Vertragsdokumente mit Zeitpunkt, IP-Adresse und Versionskennung.

6. Verfügbarkeitskontrolle

Zum Stand dieser Fassung nicht umgesetzt: Es werden keine automatisierten Sicherungskopien der Datenbank erstellt; ein Wiederherstellungsverfahren ist folglich nicht getestet.

Der Auftragsverarbeiter aktiviert die Datensicherung mit Aufnahme des Produktivbetriebs für den ersten Verantwortlichen. Eine Sicherung schützt Daten ab dem Zeitpunkt ihrer Aktivierung, nicht rückwirkend. Der jeweils aktuelle Stand ergibt sich aus der unter www.gastovia.de/avv veröffentlichten Fassung; maßgeblich für den einzelnen Vertrag ist die bei Vertragsschluss geltende Fassung (§ 6 Abs. 2).

7. Trennungskontrolle

Produktiv- und Testumgebung sind vollständig getrennt, einschließlich getrennter Datenbanken und Zugangsdaten.

8. Belastbarkeit

Verfügbarkeitsziel 99 % im Jahresmittel (AGB § 8).

9. Überprüfung

Jährliche Überprüfung dieser Maßnahmen, dokumentiert. Anlassbezogene Überprüfung bei wesentlichen Änderungen der Verarbeitung.

Änderungshistorie

Fassung	Änderung
2026-08-28	Erste veröffentlichte Fassung.

← zurück zur Startseite