Auftragsverarbeitung

Warum eine AVV notwendig ist

Wenn ein Gastronomiebetrieb Mitarbeiter-, Lieferanten- oder Kontrolldaten in BULN verwaltet, verarbeitet BULN personenbezogene Daten im Auftrag des Betriebs. Dafür wird vor der produktiven Nutzung eine Vereinbarung nach Art. 28 DSGVO abgeschlossen.

Gegenstand und Dauer

Gegenstand ist die Bereitstellung, Sicherung, Wartung und Unterstützung der BULN-Software während der Vertragslaufzeit. Nach Vertragsende werden Kundendaten nach Weisung zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.

Daten und betroffene Personen

Je nach Nutzung können Stamm-, Kontakt-, Vertrags-, Schicht-, Zeit-, Abwesenheits-, Rollen-, Lieferanten-, Bestell-, Hygiene-, Wartungs- und Protokolldaten verarbeitet werden. Betroffen sein können Beschäftigte, Bewerber, Ansprechpartner bei Lieferanten, Gäste sowie Benutzer des Kunden.

Weisungen und Vertraulichkeit

BULN verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, verpflichtet eingesetzte Personen zur Vertraulichkeit und unterstützt den Kunden bei Betroffenenrechten, Datenschutzverletzungen und erforderlichen Nachweisen.

Technische und organisatorische Maßnahmen

Vorgesehen sind insbesondere verschlüsselte Übertragung, rollenbasierte Zugriffe, sichere Anmeldung, Protokollierung sicherheitsrelevanter Vorgänge, Datensicherung, Wiederherstellungsverfahren, Mandantentrennung, Berechtigungskontrollen und regelmäßige Überprüfung der Schutzmaßnahmen.

Unterauftragsverarbeiter und weitere Empfänger

Für Hosting, Anmeldung und Datenspeicherung wird ChatGPT Sites von OpenAI eingesetzt. Für transaktionale E-Mails wird nach Aktivierung Brevo eingesetzt. Stripe verarbeitet Zahlungsdaten im Rahmen der Zahlungsabwicklung nach seiner jeweiligen datenschutzrechtlichen Rolle. Open-Meteo erhält für Wetterabfragen ausschließlich Standortangaben, jedoch keine Mitarbeiter-, Umsatz-, Reservierungs- oder Zahlungsdaten.

Die für ChatGPT Sites geltende Vereinbarung zur Datenverarbeitung und die jeweils aktuelle Unterauftragsverarbeiterliste von OpenAI sind Bestandteil der technischen Leistungskette. Änderungen werden nach den gesetzlichen und vertraglichen Vorgaben berücksichtigt.

Weisungsende, Rückgabe und Löschung

Nach Ende des Vertrags werden personenbezogene Kundendaten nach dokumentierter Weisung exportiert oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Gesetzlich aufzubewahrende Daten werden gesperrt und nicht für andere Zwecke weiterverarbeitet.