Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag ergänzt automatisch die AGB zwischen dir als Kunde (nachfolgend „Verantwortlicher“) und Randolph Ritter, GastroCMS, Bardowickstr. 7, 28203 Bremen (nachfolgend „Auftragsverarbeiter“), sobald du eine Lizenz buchst. Er regelt gemäß Art. 28 DSGVO, wie der Auftragsverarbeiter personenbezogene Daten verarbeitet, die über deine GastroCMS-Website erhoben werden (z. B. Reservierungsanfragen, Newsletter-Anmeldungen, Kontaktformular-Einträge deiner Gäste).

1. Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit Betrieb, Hosting und Support der gebuchten GastroCMS-Website. Die Dauer entspricht der Laufzeit der Hauptlizenz (siehe AGB) und endet automatisch mit deren Beendigung.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet Daten ausschließlich zum Zweck des Betriebs der gebuchten Website-Funktionen, insbesondere: Entgegennahme und Speicherung von Reservierungsanfragen, Newsletter-Anmeldungen, Kontakt-/Anfrageformularen, Klick-Tracking-Statistiken (falls gebucht) sowie – bei aktiviertem Missbrauchsschutz-Modul – Abfrage der IP-Reputation über einen externen Dienst (siehe Ziffer 5).

3. Kategorien betroffener Personen und Daten

Betroffene Personen: Besucher und Gäste deiner Website (z. B. Personen, die reservieren, sich zum Newsletter anmelden oder ein Kontaktformular ausfüllen).

Datenkategorien: Name, E-Mail-Adresse, Telefonnummer, Nachrichtentext, IP-Adresse, Zeitstempel – je nachdem, welche Module du gebucht hast. Der Auftragsverarbeiter erhebt keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Gesundheitsdaten) und verarbeitet ausschließlich die Daten, die du über die gebuchten Funktionen selbst konfigurierst.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf Grundlage dieses Vertrags und deiner Konfiguration – niemals für eigene Zwecke oder zur Weitergabe an Dritte außerhalb der in Ziffer 5 genannten Subunternehmer. Er stellt sicher, dass mit der Verarbeitung befasste Personen zur Vertraulichkeit verpflichtet sind, unterstützt dich bei der Erfüllung von Betroffenenrechten (Auskunft, Löschung, Berichtigung) und meldet dir bekannt gewordene Datenschutzverletzungen unverzüglich.

5. Unterauftragsverhältnisse

Der Auftragsverarbeiter setzt folgende Subunternehmer ein:

• Hosting: lima-city (Deutschland) – Serverbetrieb für die gesamte GastroCMS-Installation.
• DeepL SE (Köln, Deutschland) – nur falls das Zweisprachigkeits-Modul gebucht ist, zur automatischen Übersetzung von Seiteninhalten. Es werden dabei grundsätzlich keine personenbezogenen Gästedaten übermittelt, sondern nur redaktionelle Seitentexte.
• AbuseIPDB ("abuseipdb.com") – nur falls das Missbrauchsschutz-Modul gebucht ist, zur Prüfung der Reputation einer Besucher-IP-Adresse. Dieser Dienst wird außerhalb der EU betrieben; mit der Buchung dieses Moduls willigst du in diese Drittland-Übermittlung ein bzw. bestätigst, deine Besucher hierüber informiert zu haben (z. B. in deiner eigenen Datenschutzerklärung).

Der Auftragsverarbeiter informiert dich über wesentliche Änderungen bei eingesetzten Subunternehmern.

6. Technische und organisatorische Maßnahmen (TOM)

Zugriff auf Kundendaten ist auf den Auftragsverarbeiter sowie autorisiertes Support-Personal beschränkt (Passwortschutz, serverseitige Zugriffsbeschränkung sensibler Verzeichnisse). Übertragungen erfolgen verschlüsselt (HTTPS/TLS). Vor jeder inhaltlichen Änderung wird automatisch eine Sicherungskopie der Vorversion angelegt. Zugangsdaten werden ausschließlich gehasht gespeichert, nie im Klartext.

7. Kontrollrechte des Verantwortlichen

Du kannst dich jederzeit durch Rückfrage per E-Mail von der Einhaltung dieses Vertrags überzeugen. Bei begründetem Anlass kann eine weiterführende Auskunft oder ein Nachweis der technischen Maßnahmen angefragt werden.

8. Löschung und Rückgabe von Daten

Nach Beendigung der Lizenz bleiben deine Inhalte für 30 Tage gesichert (siehe AGB) und werden anschließend gelöscht. Auf Wunsch erhältst du vor Ablauf dieser Frist einen vollständigen Datenexport.

9. Haftung

Es gelten die Haftungsregelungen der AGB entsprechend. Der Auftragsverarbeiter haftet nicht für Schäden, die durch fehlerhafte oder rechtswidrige Konfiguration seitens des Verantwortlichen entstehen (z. B. Erhebung von Daten ohne eigene rechtliche Grundlage/Einwilligung deiner Gäste).

10. Schlussbestimmungen

Dieser Vertrag wird durch Buchung einer Lizenz konkludent geschlossen und gilt automatisch als Ergänzung zu den AGB. Es gilt deutsches Recht.

Hinweis: Dieser AVV deckt die Standardnutzung von GastroCMS ab. Für Besonderheiten deines Betriebs (z. B. eigene zusätzliche Datenverarbeitungen) empfehlen wir dir, diesen Vertrag von einer:einem Datenschutzbeauftragten oder Rechtsanwält:in prüfen zu lassen.