Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Parteien

Verantwortlicher: der Betreiber (das Restaurant), im Folgenden „Kunde“.
Auftragsverarbeiter: Maximus GmbH, Gottfriedstraße 1, 48151 Münster.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung von Gästedaten im Rahmen der Nutzung von menu.gold. Die Dauer entspricht der Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung

Bereitstellung digitaler Speisekarten, Annahme und Verwaltung von Bestellungen und Reservierungen, Nachrichten zwischen Gast und Kunde zu Reservierungen, Auswertung zu Bestell- und Umsatzzahlen für den Kunden.

3. Kategorien betroffener Personen

Gäste des Kunden sowie Beschäftigte des Kunden, die das Dashboard nutzen.

4. Kategorien personenbezogener Daten

Bestelldaten (Tisch, bestellte Positionen, Anmerkungen); Reservierungsdaten (Name, Telefonnummer, optional E-Mail-Adresse, Zeitpunkt, Personenzahl, Anmerkungen); Nachrichteninhalte zu Reservierungen; technische Protokolldaten (IP-Adresse, User-Agent, Zeitpunkt, aufgerufene Adresse); Nutzungs- und Änderungsprotokolle des Dashboards (Team-Mitglieder: Name, E-Mail-Adresse oder Telefonnummer, Rolle).

5. Weisungsbindung

Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Kunden. Halten wir eine Weisung für rechtswidrig, teilen wir dies mit und dürfen die Ausführung aussetzen.

6. Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet und in den Anforderungen des Datenschutzes unterwiesen.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand 26.09.2026, anhand der tatsächlichen Systemkonfiguration.

a) Verschlüsselung. TLS zwischen Nutzer und Cloudflare sowie zwischen Cloudflare und Ursprungsserver (Let's-Encrypt-Zertifikat). HSTS ist aktiviert. Die Datenbank auf dem Server ist nicht auf Datenträger- oder Spaltenebene verschlüsselt; der Objektspeicher für Bilder (DigitalOcean Spaces) ist laut Anbieter at rest verschlüsselt.

b) Zugangs- und Zugriffskontrolle. Serverzugang per SSH ausschließlich mit Schlüssel (Passwort-Anmeldung deaktiviert); Zugang haben zwei Personen (Systemadministration/DevOps und Backend-Entwicklung). Die Datenbank ist nur vom Server selbst erreichbar; die Datenbank-Verwaltungsoberfläche ist zusätzlich durch ein Passwort geschützt und über Cloudflare ausgeliefert. Eine Firewall lässt nur die benötigten Ports zu, und wiederholt fehlgeschlagene Anmeldeversuche werden automatisch gesperrt. Eine Beschränkung auf bestimmte IP-Adressen oder eine Zwei-Faktor-Authentisierung für den Serverzugang besteht derzeit nicht. Der Zugang zum Betreiber- und Plattform-Dashboard erfolgt über Google-Konten; dort kann der Nutzer die Zwei-Faktor-Authentisierung seines Google-Kontos einsetzen. Datenbank-Zugangsdaten werden als Umgebungsvariablen in einer zugriffsbeschränkten Datei gehalten und nicht im Quellcode oder Repository gespeichert. Zugriff auf Kundendaten haben nur die genannten technischen Rollen zu Support- und Fehlerbehebungszwecken.

c) Mandantentrennung. Gemeinsame PostgreSQL-Datenbank; jeder Datensatz ist über die Kette Betreiber → Restaurant → Filiale einem Kunden zugeordnet, und die Trennung wird in der Anwendungslogik bei jedem Zugriff geprüft. Eine zusätzliche Trennung auf Datenbankebene (Row Level Security) besteht nicht. Auf dem Server laufen neben menu.gold weitere Dienste Dritter in getrennten Containern.

d) Integrität und Protokollierung. Zugriffsprotokolle des Webservers (IP-Adresse, Zeitpunkt, Adresse, Status, User-Agent) werden täglich rotiert und nach 14 Tagen gelöscht; Anwendungsprotokolle werden nach Größe rotiert. Ändernde Vorgänge im Dashboard werden mit Benutzer, Zeitpunkt und Vorgang in einem Änderungsprotokoll festgehalten; lesende Zugriffe werden nicht protokolliert. Passwörter und Authentisierungstoken werden nicht protokolliert.

e) Verfügbarkeit und Wiederherstellbarkeit. Die Datenbank wird täglich automatisch gesichert. Die Sicherungen werden verschlüsselt (AES-256) und getrennt vom Produktivsystem im Objektspeicher in Frankfurt (Deutschland) abgelegt; Aufbewahrung 30 Tage mit anschließender automatischer Löschung. Ein Wiederherstellungstest in eine separate Datenbank wird wöchentlich automatisiert durchgeführt; der letzte erfolgreiche Test fand am 14.09.2026 statt.

f) Löschung. Nach Vertragsende wird der Mandant deaktiviert und die Daten werden auf Anfrage des Kunden aus der Produktivdatenbank entfernt. Eine automatische Löschung nach Fristablauf besteht derzeit nicht. Sicherungen rotieren; spätestens 30 Tage nach der Löschung befinden sich keine Kundendaten mehr in aktiven Sicherungen.

g) Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d). Sicherheitsupdates des Betriebssystems werden automatisch eingespielt; Abhängigkeiten der Anwendung werden mit den regulären Releases aktualisiert. Ein unabhängiger externer Penetrationstest und regelmäßige automatisierte Schwachstellen-Scans haben bisher nicht stattgefunden.

h) Erkennung und Reaktion. Die Erreichbarkeit von Website und Schnittstelle wird alle fünf Minuten automatisiert geprüft und protokolliert; Fehler und Auffälligkeiten werden anhand der Anwendungs- und Serverprotokolle ausgewertet. Verletzungen des Schutzes personenbezogener Daten melden wir dem Kunden innerhalb von 24 Stunden nach Kenntnis (Ziffer 10).

8. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Wechsel und Neuaufnahme teilen wir mindestens 30 Tage vorher mit; der Kunde kann innerhalb dieser Frist aus wichtigem Grund widersprechen.

9. Unterstützung des Kunden

Wir unterstützen den Kunden bei Betroffenenanfragen, bei der Datenschutz-Folgenabschätzung und bei Anfragen von Aufsichtsbehörden.

10. Meldung von Verletzungen

Verletzungen des Schutzes personenbezogener Daten melden wir dem Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben.

11. Löschung und Rückgabe

Nach Beendigung löschen wir die Daten oder geben sie nach Wahl des Kunden zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. Frist: 30 Tage nach Zugang der Anfrage des Kunden.

12. Nachweise und Kontrollen

Wir weisen die Einhaltung auf Anfrage nach und ermöglichen Überprüfungen in zumutbarem Umfang nach vorheriger Ankündigung.