Vorlage – vor Verwendung rechtlich prüfen lassen. Dieser Text ist ein unverbindliches Muster und ersetzt keine Rechtsberatung.

Auftragsverarbeitungsvertrag

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO) · Stand: 10/2026

zwischen dem die Plattform nutzenden Restaurant (Verantwortlicher, „Auftraggeber“) und [Firmenname des Plattformbetreibers], Straße 1, 1010 Wien (Auftragsverarbeiter, „Auftragnehmer“). Der Vertrag wird mit der Registrierung bzw. der Annahme der AGB für Restaurants geschlossen und gilt für deren Dauer.

1. Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers ausschließlich zur Bereitstellung der Online-Bestellplattform Bestellen Demo (Bestellseite, Restaurant-Panel, Benachrichtigungen, Bon-Druck, Auswertungen). Die Dauer entspricht der Laufzeit des Hauptvertrags.

2. Art und Zweck der Verarbeitung, Daten und Betroffene

Zweck: Entgegennahme, Weiterleitung, Anzeige, Druck und Archivierung von Bestellungen der Gäste des Auftraggebers; Benachrichtigung der Gäste über den Bestellstatus.
Datenarten: Name, Telefonnummer, E-Mail-Adresse, Lieferadresse, Bestellinhalt, Anmerkungen, Zeitpunkte, Zahlungsart und -status (keine Kartendaten), Tischnummer, technische Zugriffsdaten (IP-Adresse, Browser).
Betroffene: Gäste und Besteller des Auftraggebers; Mitarbeiter des Auftraggebers mit Zugang zum Restaurant-Panel.
Verarbeitungen: Erheben, Speichern, Anzeigen, Übermitteln an den Auftraggeber, Löschen.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, die grundsätzlich durch den Hauptvertrag und die Einstellungen im Restaurant-Panel erteilt wird. Weitere Weisungen erfolgen per E-Mail. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich. Eine Verarbeitung für eigene Zwecke des Auftragnehmers findet nicht statt, ausgenommen anonymisierte Statistiken zum Betrieb der Plattform.

4. Pflichten des Auftragnehmers

Mit der Verarbeitung betraute Personen sind zur Vertraulichkeit verpflichtet (§ 6 DSG).
Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
Er unterstützt den Auftraggeber bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen und bei Meldungen an die Aufsichtsbehörde. Anfragen von Betroffenen, die beim Auftragnehmer eingehen, leitet er an den Auftraggeber weiter.
Verletzungen des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich, möglichst binnen 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
Er stellt dem Auftraggeber die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach angemessener Vorankündigung, in der Regel durch Vorlage schriftlicher Auskünfte.

5. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens 30 Tage im Voraus per E-Mail; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall den Hauptvertrag kündigen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu den Pflichten dieses Vertrags. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

6. Löschung und Rückgabe

Bestellungen werden nach Ablauf der gesetzlichen Aufbewahrungsfrist des Auftraggebers (sieben Jahre, § 132 BAO) automatisch gelöscht. Nach Ende des Hauptvertrags stellt der Auftragnehmer auf Verlangen binnen 30 Tagen einen Export der Bestelldaten bereit und löscht die Daten danach, soweit keine gesetzliche Pflicht zur Speicherung besteht. Datensicherungen werden im Rahmen der regulären Rotation überschrieben.

7. Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, die Information der Gäste (Datenschutzerklärung auf der Bestellseite) und die Wahrung der Betroffenenrechte verantwortlich. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

8. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor. Es gilt österreichisches Recht; Gerichtsstand ist der Sitz des Auftragnehmers.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutrittskontrolle: Betrieb in einem Rechenzentrum des Hosting-Anbieters mit Zutrittsbeschränkung, Videoüberwachung und Protokollierung (siehe Anlage 2).
Zugangskontrolle: persönliche Zugänge mit Passwort, verschlüsselte Übertragung (HTTPS/TLS), Administratorzugänge nur für berechtigte Personen.
Zugriffskontrolle: strikte Mandantentrennung – Restaurant-Zugänge sehen nur Daten des eigenen Restaurants; Rollen für Plattformadministratoren.
Weitergabekontrolle: Übertragung ausschließlich verschlüsselt; Druckerbrücken und Webhooks mit geheimen Schlüsseln bzw. Signaturen.
Eingabekontrolle: Zeitstempel und Statusverlauf der Bestellungen; Fehlerprotokoll der Anwendung.
Verfügbarkeitskontrolle: regelmäßige Datensicherungen, Überwachung von Fehlern und geplanten Aufgaben, Updates von Betriebssystem und Software.
Trennungskontrolle: Daten jedes Restaurants sind über die Restaurant-Kennung logisch getrennt; Test- und Produktivsystem sind getrennt.
Datenminimierung: keine Speicherung von Kartendaten; keine Analyse- oder Werbe-Tracker auf den Bestellseiten; automatische Löschung nach Ablauf der Aufbewahrungsfrist.
Organisation: Verpflichtung auf Vertraulichkeit, Verfahren zur Meldung von Datenschutzverletzungen, regelmäßige Überprüfung dieser Maßnahmen.

Anlage 2 – Unterauftragsverarbeiter

Hosting und Datenbank: [Name, Anschrift und Serverstandort des Hosting-Anbieters] – Betrieb der Server und Datensicherung
E-Mail-Versand: [Name und Anschrift des E-Mail-Anbieters] – Versand von Bestellbestätigungen und Statusmeldungen an Gäste
SMS-Versand: sms77 IO GmbH (seven.io), Willestraße 4–6, 24103 Kiel, Deutschland – SMS-Benachrichtigungen ausschließlich an das Restaurant (z. B. bei unbeantworteten Bestellungen); enthält keine Gästedaten außer Bestellnummer und Betrag

Zahlungsanbieter: Stripe, PayPal und Mollie sind keine Unterauftragsverarbeiter des Auftragnehmers. Der Auftraggeber nutzt dafür eigene Konten und schließt die Verträge – einschließlich allfälliger Datenschutzvereinbarungen – selbst mit diesen Anbietern ab; sie sind gegenüber dem Auftraggeber eigenständig Verantwortliche bzw. dessen eigene Auftragsverarbeiter. Der Auftragnehmer übermittelt an sie lediglich technisch Betrag, Bestellnummer und gegebenenfalls die E-Mail-Adresse des Gastes im Namen des Auftraggebers.