GastroKings24Anmelden

Vertrag über die Auftragsverarbeitung

zwischen dem Kunden von KingsHUB als Verantwortlichem (nachfolgend „Kunde“) und der Sitizen Solutions, Waldhofstraße 22, 68169 Mannheim, als Auftragsverarbeiter (nachfolgend „Anbieter“)

1. Gegenstand und Dauer

1.1 Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit der Kunde KingsHUB, die KingsHUB Box und die damit verbundenen Leistungen nach dem Hauptvertrag und den Allgemeinen Geschäftsbedingungen nutzt. Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen stehen in Anlage 1.

1.2 Dieser Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Anbieter Daten des Kunden verarbeitet.

2. Weisungen

2.1 Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in ein Drittland, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

2.2 Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung von KingsHUB durch den Kunden, insbesondere aus seinen Einstellungen. Weitere Weisungen erteilt der Kunde in Textform.

2.3 Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

3. Vertraulichkeit

3.1 Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt ihnen Zugriff nur, soweit es für ihre Aufgaben erforderlich ist (Art. 28 Abs. 3 lit. b DSGVO).

4. Sicherheit der Verarbeitung

4.1 Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht unterschritten wird.

5. Unterauftragsverarbeiter

5.1 Der Kunde erteilt die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO).

5.2 Der Anbieter informiert den Kunden mindestens 30 Tage vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

5.3 Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf im Wesentlichen dieselben Datenschutzpflichten wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO) und haftet gegenüber dem Kunden für dessen Pflichterfüllung.

5.4 Eine Verarbeitung in Drittländern findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

5.5 Keine Unterauftragsverarbeitung sind Leistungen, die der Kunde selbst bei Dritten in Anspruch nimmt, etwa Zahlungsdienstleister, mit denen er sein Konto verbindet.

6. Unterstützung des Kunden

6.1 Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter.

6.2 Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO).

6.3 Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sie ihm bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen; fehlende Angaben reicht er nach.

7. Löschung und Rückgabe

7.1 Nach Ende der Leistungen stellt der Anbieter dem Kunden auf Wunsch innerhalb von 30 Tagen einen Export der Daten in einem gängigen Format bereit. Danach löscht er die Daten des Kunden, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Verschlüsselte Datensicherungen werden im Rahmen ihres regulären Zyklus gelöscht, spätestens 24 Monate nach ihrer Entstehung (Anlage 2).

7.2 Auf der KingsHUB Box gespeicherte Daten löscht der Kunde mit der Deinstallation selbst.

7.3 Im Änderungsverlauf bleiben nach dem Löschen nur Einträge ohne Inhalt und ohne Namen – Zeitpunkt, Art der Änderung und die technische Kennung der geänderten Zeile –, damit der Verlauf lückenlos bleibt; auch sie löscht der Anbieter nach zwei Jahren. Die Kosten der KI-Nutzung bleiben für die Abrechnung ohne den Namen der auslösenden Person stehen.

7.4 Während der Laufzeit löscht KingsHUB automatisch: versandte E-Mails nach 90 Tagen, Einträge im Änderungsverlauf nach zwei Jahren, Rufe vom Tisch nach sieben Tagen, Protokolle der KI-Läufe und zwischengespeicherte Adressprüfungen nach 90 Tagen, Gespräche mit Gästen unter „Nachrichten“ samt Anhängen ein Jahr nach der letzten Nachricht, die Zähler der anonymen Zählung auf der Bestellseite nach 25 Monaten. Bestellungen, Reservierungen und die Gästekartei bleiben gespeichert, bis der Kunde sie löscht oder der Vertrag endet.

8. Nachweise und Kontrollen

8.1 Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer (Art. 28 Abs. 3 lit. h DSGVO).

8.2 Inspektionen kündigt der Kunde mit einer Frist von mindestens 14 Tagen an; sie finden während der üblichen Geschäftszeiten statt, ohne den Betrieb unverhältnismäßig zu stören, und in der Regel nicht öfter als einmal im Jahr, es sei denn, es besteht ein besonderer Anlass. Ein Zugang zu Räumen des Hosting-Anbieters besteht nur nach dessen Bedingungen; insoweit genügen dessen Nachweise und Zertifikate.

9. Haftung und Schlussbestimmungen

9.1 Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Hauptvertrags.

9.2 Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag und den AGB vor.

9.3 Dieser Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1: Gegenstand, Daten und betroffene Personen

Art und Zweck der Verarbeitung

Bereitstellung, Speicherung und Verarbeitung der Daten des Kunden in KingsHUB: Annahme und Verwaltung von Reservierungen und Bestellungen, Bestellungen am Tisch, Gästekartei, Liefergebiete und Adressprüfung, Druck von Bons, Verwaltung der Mitarbeitenden, Betrieb der Webseite des Kunden einschließlich Anfrageformular, Anbindungen nach Wahl des Kunden, Unterstützung und Wartung.

Arten der Daten

  • Gäste: Name, Telefonnummer, E-Mail-Adresse, Lieferadresse, Bestellungen mit Positionen und Anmerkungen, Reservierungen mit Datum, Uhrzeit, Personenzahl und Wünschen, Zahlungsstatus (keine Karten- oder Kontodaten), Einträge der Gästekartei, Status-Kennungen
  • Anmerkungen und Wünsche können Angaben zu Allergien und Unverträglichkeiten enthalten und damit Gesundheitsdaten nach Art. 9 DSGVO
  • Mitarbeitende des Kunden: Name, E-Mail-Adresse, Rolle und Rechte, Passwort- und PIN-Hashwerte, Sitzungen, Einträge im Änderungsverlauf, Zuordnungen zu Touren und Bestellungen, bei der Android-App Push-Schlüssel, Kennung und Version der App-Installation sowie die gewählten Benachrichtigungen
  • Personen, die über die Webseite des Kunden anfragen: Name, Kontaktdaten, Anlass, Wunschdatum, Personenzahl, Nachricht
  • Gäste, die auf eine Mail zu ihrer Reservierung, Bestellung oder Anfrage antworten: Absenderadresse und Name, Betreff, Text der Nachricht, Anhänge (Bilder, PDF), technische Kennungen der Mail
  • Personen, die mit den verbundenen Seiten des Kunden bei Facebook oder Instagram interagieren: Name bzw. Profilname, Beiträge, Kommentare, Nachrichten
  • Verfasser öffentlicher Bewertungen: veröffentlichter Name und Bewertungstext, bei verbundenem Google-Unternehmensprofil auch Profilbild und die Antworten des Kunden

Kategorien betroffener Personen

Gäste und Interessenten des Kunden, Mitarbeitende des Kunden einschließlich Fahrerinnen und Fahrern, Personen, die mit den Online-Auftritten des Kunden in Kontakt treten.

Anlage 2: Technische und organisatorische Maßnahmen

Vertraulichkeit

  • Zutritt: Der Server steht im Rechenzentrum des Hosting-Anbieters, der den physischen Zutritt nach seinen Sicherheitsstandards regelt; eigene Serverräume betreibt der Anbieter nicht.
  • Zugang: persönliche Zugänge; Passwörter werden ausschließlich als scrypt-Hashwert gespeichert; wiederholte Fehlversuche bei der Anmeldung werden gebremst; Sitzungen enden nach 12 Stunden; Sitzungscookies sind für Skripte nicht lesbar und werden nur verschlüsselt übertragen.
  • Zugriff: Rollen und Rechte je Betrieb; jede Abfrage ist an den Betrieb gebunden (Mandantentrennung); Zugriffe des Supports nur mit Freigabe des Kunden, zeitlich auf eine Stunde begrenzt und sichtbar.
  • Trennung: logische Trennung der Daten je Kunde; Entwicklung und Prüfung mit Vorführdaten, nicht mit Daten der Kunden.
  • KingsHUB Box: Start-PIN nach jedem Hochfahren, persönliche PINs nur als Hashwert auf dem Rechner, automatische Sperre nach einigen Minuten ohne Bedienung.

Integrität

  • Weitergabe: alle Verbindungen mit TLS verschlüsselt; Zugangsschlüssel zu Diensten Dritter mit AES-256-GCM verschlüsselt gespeichert.
  • Aktualisierungen der KingsHUB Box sind digital signiert (Ed25519) und werden vor dem Einspielen geprüft.
  • Eingabe: ein Änderungsverlauf hält fest, wer wann Reservierungen, Bestellungen und Einstellungen geändert hat; Einträge werden nach zwei Jahren gelöscht.

Verfügbarkeit und Belastbarkeit

  • Datensicherung der Datenbank: täglich, 14 Tage aufbewahrt; zusätzlich vor jeder Aktualisierung.
  • Die Anwendung läuft in einem Container mit schreibgeschütztem Dateisystem, ohne erweiterte Rechte, mit Ressourcengrenzen, laufender Gesundheitsprüfung und automatischem Neustart.
  • Fällt die Internetverbindung im Restaurant aus, kann die KingsHUB Box im Rahmen ihrer Funktionen weiterarbeiten; Online-Bestellungen und Reservierungen laufen weiter in der Cloud.

Regelmäßige Überprüfung

  • Vor jeder Veröffentlichung einer neuen Fassung laufen automatisierte Prüfungen, auch zu Rechten, Mandantentrennung und Datenbank.
  • Abhängigkeiten und Sicherheitsaktualisierungen werden laufend eingespielt.
  • Datenschutz durch Technikgestaltung: externe Karten und Videos erst nach Einwilligung, Formulare ohne Captcha-Dienste Dritter, Gästedaten nur bei dem Restaurant, bei dem der Gast bestellt oder reserviert hat.

Anlage 3: Unterauftragsverarbeiter

  • HOSTINGER, UAB, Švitrigailos g. 34, LT-03230 Vilnius, Litauen – Rechenzentrum in Nürnberg (Deutschland) – Betrieb des Servers, Speicherung aller Daten
  • Openrouter.ai – Verarbeitung von Inhalten für die KI-Funktionen (Speisekarten einlesen, Allergene vorschlagen, Texte und Bilder für Webseiten und Gerichte), soweit diese personenbezogene Daten enthalten; Übermittlung in Drittländer auf Grundlage von Art. 45 bzw. Art. 46 DSGVO
  • OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich – Adressprüfung (Geokodierung) von Lieferadressen ohne Namen der Gäste; Angemessenheitsbeschluss der EU-Kommission
  • Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland – Abruf und Versand von Beiträgen, Kommentaren und Nachrichten der verbundenen Seiten (nur mit dem Modul „Social Media“)
  • netcup GmbH, Karlsruhe, Deutschland – Versand und Empfang von E-Mails an Gäste und Mitarbeitende des Kunden und an seine eigene Mailadresse über die Postfächer von KingsHUB
  • Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Firebase Cloud Messaging) – Zustellung von Push-Nachrichten an die Android-App der Mitarbeitenden des Kunden; die Nachrichten enthalten Kurztexte zu Bestellungen und Reservierungen, etwa Nummer, Name des Gastes und Uhrzeit; Übermittlung in Drittländer auf Grundlage von Art. 45 bzw. Art. 46 DSGVO
  • netcup GmbH, Karlsruhe, Deutschland – Aufbewahrung verschlüsselter Sicherungskopien aller Daten auf einem eigenen Server; der Unterauftragsverarbeiter erhält keinen Schlüssel und kann den Inhalt nicht lesen
  • Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland (Microsoft 365, OneDrive) – Aufbewahrung einer weiteren, täglichen verschlüsselten Sicherungskopie im Cloud-Speicher; ohne Schlüssel, Verarbeitung in Rechenzentren in der EU; soweit Microsoft aus Drittländern auf die verschlüsselten Dateien zugreift, auf Grundlage von Art. 45 bzw. Art. 46 DSGVO

Stand: 23.10.2026