Vertrag zur Auftragsverarbeitung

Stand: 9. Oktober 2026

zwischen dem Kunden im Sinne der AGB (Verantwortlicher, „Auftraggeber") und Restopia (Auftragsverarbeiter, „Auftragnehmer"; Angaben im Impressum). Der Auftraggeber nimmt diesen Vertrag zusammen mit den AGB im Kundenportal an; Zeitpunkt und Fassung werden gespeichert.

1. Gegenstand, Dauer, Art und Zweck

1.1 Der Auftragnehmer stellt dem Auftraggeber die Restopia-Plattform zur Verwaltung von Tischreservierungen bereit (AGB Ziffer 2) und verarbeitet dabei personenbezogene Daten im Auftrag des Auftraggebers. Reservierungen über das Buchungsformular sind Angebote der Gäste an den Auftraggeber; der Auftragnehmer ist nicht Partei des Bewirtungsvertrags.

1.2 Dieser Vertrag gilt, solange der Auftragnehmer Daten für den Auftraggeber verarbeitet, also bis zur Löschung des Firmenkontos (Ziffer 9).

1.3 Verarbeitet werden:

1.4 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet der Auftragnehmer nur, soweit Gäste sie freiwillig in die Anmerkung schreiben — etwa Allergien oder Unverträglichkeiten. Das Buchungsformular holt dafür eine ausdrückliche Einwilligung des Gastes ein.

2. Weisungen

2.1 Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus den AGB, diesem Vertrag und den Einstellungen, die der Auftraggeber in App und Kundenportal vornimmt. Einzelweisungen erteilt der Auftraggeber in Textform an datenschutz@restopia.de.

2.2 Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf ihre Ausführung bis zur Bestätigung oder Änderung aussetzen. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandelt er als Antrag auf Leistungsänderung.

2.3 Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Ausgenommen ist allein der Schutz der Plattform vor Missbrauch (Drosselung je IP-Adresse, Bot-Prüfung), für den der Auftragnehmer selbst verantwortlich ist.

3. Pflichten des Auftragnehmers

• Er verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, auch über das Vertragsende hinaus.
• Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1, überprüft sie regelmäßig und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
• Er meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen, und unterstützt ihn bei Meldung und Benachrichtigung.
• Er unterstützt den Auftraggeber bei den Rechten der Betroffenen. Dafür stehen in der App Funktionen zum Löschen von Gästen und zum Widerrufen von Einwilligungen bereit, im Kundenportal eine Zusammenstellung aller zu einer E-Mail-Adresse gespeicherten Daten (Datenauskunft nach Art. 15 DSGVO).
• Er unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde (Art. 35, 36 DSGVO), soweit dies die Verarbeitung im Auftrag betrifft.

4. Pflichten des Auftraggebers

• Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Information der Gäste verantwortlich. Der Auftragnehmer stellt dafür Datenschutzhinweise je Betrieb bereit (AGB Ziffer 13.2).
• Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
• Er benennt auf Anfrage eine Ansprechperson für Datenschutzfragen.

5. Anfragen von Betroffenen

Wendet sich ein Gast mit einem Anliegen zu seinen Daten an den Auftragnehmer, leitet dieser es unverzüglich an den Auftraggeber weiter, sofern es sich ihm zuordnen lässt, und beantwortet es nicht selbst. Den Widerruf von Einwilligungen per Link aus den Gast-E-Mails setzt die Plattform im Auftrag des Auftraggebers automatisch um.

6. Nachweise und Kontrollen

6.1 Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage mit geeigneten Unterlagen nach, etwa mit Selbstauskünften und den Nachweisen seiner Unterauftragsverarbeiter.

6.2 Reicht das nicht aus, kann der Auftraggeber nach rechtzeitiger Anmeldung während der üblichen Geschäftszeiten selbst prüfen oder einen zur Verschwiegenheit verpflichteten Prüfer beauftragen, der nicht im Wettbewerb zum Auftragnehmer steht — in der Regel höchstens einmal im Jahr, außer nach einer Datenschutzverletzung. Für Aufwand, der über das Bereitstellen vorhandener Unterlagen hinausgeht, kann der Auftragnehmer eine angemessene Vergütung verlangen. Prüfungen durch Aufsichtsbehörden bleiben unberührt.

7. Unterauftragsverarbeiter

7.1 Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer verpflichtet sie vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

7.2 Will der Auftragnehmer einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilt er das mindestens vier Wochen vorher per E-Mail mit. Der Auftraggeber kann in dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden beide keine Lösung, kann der Auftraggeber den Vertrag zum Zeitpunkt der Änderung kündigen.

7.3 Keine Unterauftragsverarbeitung im Sinne dieses Vertrags ist die Zahlungsabwicklung beim No-Show-Schutz: Sie läuft über das eigene Stripe-Konto des Auftraggebers, auf Grundlage seines Vertrags mit Stripe (AGB Ziffer 12.2).

8. Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU bzw. des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind — durch einen Angemessenheitsbeschluss, insbesondere das EU-U.S. Data Privacy Framework, oder durch Standardvertragsklauseln der EU-Kommission. Welche Garantie für welchen Unterauftragsverarbeiter gilt, steht in Anlage 2.

9. Löschung und Rückgabe

9.1 Während der Laufzeit löscht die Plattform Gastdaten automatisch:

• 14 Tage nach dem Ende einer Reservierung werden Name, Kontaktdaten, Anmerkung, interne Notizen, Nachrichten und IP-Adressen an der Reservierung gelöscht; die Reservierung bleibt ohne Personenbezug für die Auslastungsstatistik. Die Frist hängt am Termin, nicht an seinem Status.
• Gastprofile mit Einwilligung werden 24 Monate nach der letzten Buchung mit Einwilligung gelöscht, No-Show-Belege 24 Monate nach dem letzten Nichterscheinen.
• Eine hinterlegte Zahlungsmethode wird freigegeben, wenn der Auftraggeber nicht binnen 14 Tagen nach dem Termin über sie entscheidet.

9.2 Nach dem Ende eines Abonnements bleiben die Daten auf Weisung des Auftraggebers gespeichert, bis sein Inhaber das Firmenkonto löscht; die Fristen aus 9.1 laufen weiter. Mit der Löschung des Firmenkontos werden alle Daten sofort gelöscht. Auf Anfrage stellt der Auftragnehmer vorher eine Kopie der Reservierungsdaten in einem gängigen Format bereit.

9.3 Datensicherungen werden nach [Frist wird ergänzt] überschrieben; bis dahin können gelöschte Daten dort noch enthalten sein. Der Auftragnehmer stellt aus ihnen nur nach einem Ausfall wieder her.

10. Haftung

Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO. Im Verhältnis zwischen Auftraggeber und Auftragnehmer gelten die Haftungsregeln der AGB (Ziffer 14). Wird eine Seite von Betroffenen in Anspruch genommen, unterstützt die andere sie bei der Abwehr.

11. Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und den AGB geht in Fragen des Datenschutzes dieser Vertrag vor. Änderungen bedürfen der Textform; für sie gilt das Änderungsverfahren der AGB (Ziffer 17). Im Übrigen gelten die Schlussbestimmungen der AGB.

Anlage 1 — Technische und organisatorische Maßnahmen

Vertraulichkeit

• Restopia betreibt keine eigenen Server. Die physische Sicherheit der Rechenzentren liegt bei den Unterauftragsverarbeitern aus Anlage 2, die sie vertraglich zusichern.
• Anmeldung mit E-Mail-Adresse und Passwort (mindestens 8 Zeichen); Passwörter werden ausschließlich als Hash gespeichert. Ändern sich die Zugangsdaten, werden alle anderen Sitzungen sofort beendet.
• Mandantentrennung in der Datenbank: Jede fachliche Tabelle trägt die Kennung des Betriebs; Zeilenzugriffsregeln (Row Level Security) geben nur die Betriebe frei, für die eine Person freigeschaltet ist.
• Rollen je Betrieb: Inhaber, Manager:in und Servicekraft. Einstellungen und Geldbewegungen (z. B. Einzug einer Kaution) sind Inhabern und Manager:innen vorbehalten; die Prüfung erfolgt in der Datenbank bzw. serverseitig, nicht nur in der Oberfläche.
• Schlüssel mit Vollzugriff werden ausschließlich serverseitig verwendet und nie an Browser oder App ausgeliefert. Administrative Zugänge zu den Diensten sind personengebunden und auf das Nötige beschränkt.
• Anonymisierung von Reservierungen nach Fristablauf (Ziffer 9.1).

Integrität

• Alle Verbindungen zwischen Browser, App und Plattform sowie zu den Unterauftragsverarbeitern sind per TLS verschlüsselt.
• Statuswechsel einer Reservierung werden mit Zeitpunkt und auslösender Person protokolliert, manuelle Änderungen an Zeit, Personenzahl, Tischen und Notizen in einem Änderungsprotokoll.
• Nachrichten von Zahlungsdienstleister und Datenbank an die Plattform werden über Signaturen bzw. gemeinsame Geheimnisse geprüft.
• Push-Benachrichtigungen enthalten keine Gastnamen, nur Datum, Uhrzeit und Personenzahl.

Verfügbarkeit und Belastbarkeit

• Regelmäßige Datensicherung der Datenbank durch Supabase [Häufigkeit und Aufbewahrung werden ergänzt].
• Schutz vor Überlastangriffen und Massenanfragen durch Cloudflare, Drosselung der öffentlichen Gast-Schnittstellen je IP-Adresse, Bot-Prüfung beim Absenden von Formularen.

Überprüfung und Löschkonzept

• Die Zugriffsregeln werden mit einem automatisierten Test geprüft, der Rollen und Mandantentrennung mit Testkonten durchspielt; er wird bei Änderungen an Datenbank oder Berechtigungen ausgeführt.
• Löschfristen werden technisch durchgesetzt (Ziffer 9.1) und knüpfen an Zeitpunkte, nicht an manuelle Statusänderungen.

Anlage 2 — Unterauftragsverarbeiter