Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Stand: 29.10.2026 · Bestandteil der Nutzungsbedingungen

zwischen dem Betrieb, der Menü Uyum nutzt („Verantwortlicher“), und Menümde ([Şahıs işletmesi / Ltd. Şti.]), Istanbul, Türkiye („Auftragsverarbeiter“). Der Vertrag gilt, sobald der Verantwortliche die Funktionen Bestellung am Tisch, Abholung oder Kellnerruf in der App aktiviert, und endet mit dem Nutzungsvertrag.

1. Gegenstand, Art und Zweck

Der Auftragsverarbeiter betreibt für den Verantwortlichen eine digitale Speisekarte mit Bestell- und Kellnerruffunktion. Er verarbeitet dabei Gästedaten ausschließlich, um Bestellungen und Rufe an das Personal des Verantwortlichen zu übermitteln, ihren Status anzuzeigen und sie nach Ablauf der Fristen zu löschen.

2. Datenarten und betroffene Personen

Betroffene: Gäste des Verantwortlichen; Mitarbeitende des Verantwortlichen, die den Personalbildschirm nutzen.
Daten: bestellte Gerichte, Mengen, Preise, freiwillige Notiz an die Küche (kann Gesundheitsangaben wie Allergien enthalten), Tisch- oder Abholnummer, Zeitpunkte und Status, ein zufälliger Gerätecode, die IP-Adresse kurzzeitig zur Missbrauchsabwehr. Außerdem ein freiwillig angegebener Vor- oder Spitzname (damit das Personal getrennte Rechnungen am Tisch zuordnen kann). Telefonnummer oder Zahlungsdaten werden nicht erhoben. Erlaubt ein Gast oder das Personal Benachrichtigungen: die vom Browser erzeugte Push-Adresse und Schlüssel.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; die Einstellungen im Konto und dieser Vertrag gelten als solche Weisungen. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Eine Verarbeitung aufgrund einer gesetzlichen Pflicht teilt er vorher mit, soweit das Gesetz dies nicht verbietet.

4. Vertraulichkeit

Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet. Zugriff erhalten nur Personen, die ihn für den Betrieb des Dienstes benötigen.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselte Übertragung (HTTPS); Passwörter nur als nicht umkehrbarer Hash; Geheimnisse der Zwei-Faktor-Authentifizierung verschlüsselt (AES-256-GCM).
Zwei-Faktor-Authentifizierung für die Administration verpflichtend; Sperre nach wiederholten Fehlanmeldungen; Begrenzung der Anfragen je IP-Adresse.
Trennung der Mandanten: jeder Betrieb sieht nur seine eigenen Daten; der Personalbildschirm ist nur mit Anmeldung oder geheimem Schlüssel erreichbar.
Content-Security-Policy, Schutz vor Cross-Site-Request-Forgery, sichere Cookie-Einstellungen.
Protokollierung sicherheitsrelevanter Vorgänge (etwa 24 Monate); tägliche Datensicherung, die letzten 30 werden aufbewahrt.
Automatische Löschung: Kellnerrufe nach 30 Tagen, Bestellungen nach 90 Tagen, Tischsitzungen 7 Tage nach der letzten Aktivität, Push-Adressen der Gäste nach 12 Stunden. Benachrichtigungen werden Ende-zu-Ende-verschlüsselt (RFC 8291) über den Push-Dienst des jeweiligen Browsers zugestellt.

Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter:

[Hosting firması, ülke]: Hosting und Datensicherung.

Gästedaten werden nicht an DeepL oder andere Dritte übermittelt (übersetzt werden nur Texte der Speisekarte). Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 30 Tage vorher in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag in diesem Fall kündigen. Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern dieselben Pflichten auf.

7. Übermittlung in Drittländer

Hat der Auftragsverarbeiter seinen Sitz oder seine Server außerhalb der EU bzw. des EWR, erfolgt die Übermittlung auf Grundlage der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 2: Verantwortlicher an Auftragsverarbeiter), die die Parteien ergänzend abschließen. Bei Widersprüchen gehen die Standardvertragsklauseln vor.

8. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 15–22 DSGVO), bei Datenschutz-Folgenabschätzungen und bei der Meldung von Verletzungen. Wendet sich ein Gast direkt an ihn, leitet er die Anfrage an den Verantwortlichen weiter.

9. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

10. Löschung und Rückgabe

Nach Vertragsende löscht der Auftragsverarbeiter die Gästedaten spätestens nach Ablauf der oben genannten Fristen; Kopien in Datensicherungen werden mit deren Rotation gelöscht. Vor dem Vertragsende kann der Verantwortliche die Bestelldaten im Konto einsehen; eine Rückgabe in anderem Format erfolgt auf Anfrage.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen durch den Verantwortlichen oder einen beauftragten Prüfer nach angemessener Vorankündigung, während der Geschäftszeiten und ohne Störung des Betriebs.

12. Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen in Fragen des Datenschutzes vor. Die Haftung richtet sich nach Art. 82 DSGVO.

Kontakt: iletisim@menumde.com · Datenschutzerklärung · Impressum