AUFTRAGSVERARBEITUNGSVERTRAG (AVV)

Dieser Auftragsverarbeitungsvertrag (im Folgenden: „AVV” – Data Processing Agreement, DPA) wird zwischen Nagy György egyéni vállalkozó (Nagy György, Einzelunternehmer; im Folgenden: „Bukio” oder „Auftragsverarbeiter”) und dem Restaurant, das die Bukio-Plattform als Abonnent nutzt (im Folgenden: „Restaurant” oder „Verantwortlicher”), über die Verarbeitung der personenbezogenen Daten der Gäste im Zusammenhang mit dem Reservierungssystem des Restaurants geschlossen.

Dieser AVV wurde in Übereinstimmung mit der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (DSGVO), insbesondere deren Art. 28, sowie mit den Bestimmungen des ungarischen Gesetzes Nr. CXII von 2011 über die informationelle Selbstbestimmung und die Informationsfreiheit (Infotv.) erstellt.

Dieser AVV enthält die Detailregelungen zu Punkt 10 der Allgemeinen Geschäftsbedingungen (AGB) und zu den einschlägigen Kapiteln der Datenschutzerklärung. Bei Abweichungen – ausdrücklich im Bereich des Auftragsverarbeitungsverhältnisses – gehen die Bestimmungen dieses AVV vor.

Untrennbare Bestandteile des AVV sind:

• Anlage 1 – Beschreibung des Umfangs der verarbeiteten Daten (Punkt 16)
• Anlage 2 – Liste der genehmigten Unterauftragsverarbeiter (Punkt 17)
• Anlage 3 – Technische und organisatorische Maßnahmen (TOM) (Punkt 18)
  

Dieser AVV bezieht sich ausschließlich auf die Verarbeitung der Gästedaten im Zusammenhang mit dem Reservierungssystem des Restaurants durch Bukio. Er erstreckt sich nicht auf Verarbeitungen, die Bukio in eigener Verantwortung als Verantwortlicher durchführt (z. B. Konto- und Abrechnungsdaten des Restaurants, plattformweite Sicherheits-, Authentifizierungs- und Missbrauchspräventionsdaten); diese werden durch die Datenschutzerklärung von Bukio geregelt.

Firma: Nagy György egyéni vállalkozó (Nagy György, Einzelunternehmer)

Sitz: 6726 Szeged, Középkikötő Sor 14/b

Steuernummer: 59721639-1-26

Datenschutzkontakt: privacy@bukio.hu

Allgemeiner Kontakt: hello@bukio.hu

Die Daten des Restaurants werden bei der Registrierung auf der Plattform vom Vertreter des Restaurants angegeben und von Bukio im Konto des Restaurants gespeichert. Für die Aktualität der Daten ist das Restaurant verantwortlich.

Die Parteien erkennen an, dass dieser AVV auf elektronischem Wege durch die – mit Zeitstempel und IP-Adresse protokollierte – Annahmeerklärung des Restaurants bei der Registrierung (oder bei der Annahme einer späteren Änderung der AGB/des AVV) zustande kommt.

Die im AVV verwendeten Begriffe haben – sofern nichts anderes bestimmt ist – die in Art. 4 DSGVO festgelegte Bedeutung. Besonders hervorgehoben:

• Verantwortlicher: das Restaurant, das über die Zwecke und Mittel der Verarbeitung der Gästedaten entscheidet.
• Auftragsverarbeiter: Bukio, das die Gästedaten im Namen und nach Weisung des Restaurants verarbeitet.
• Unterauftragsverarbeiter (Sub-Prozessor): ein weiterer Auftragsverarbeiter, den Bukio zur Erfüllung des Auftrags einsetzt.
• Gast: die natürliche Person, die über das Reservierungsformular des Restaurants eine Tischreservierung veranlasst und deren Daten Gegenstand dieses AVV sind.
• Auftrag: der vom Restaurant an Bukio erteilte Auftrag zur Datenverarbeitung im Zusammenhang mit dem Betrieb des Reservierungssystems.
• Verletzung des Schutzes personenbezogener Daten: eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt.
  

Das Restaurant beauftragt Bukio, im Rahmen des technischen Betriebs des Reservierungssystems des Restaurants die in Anlage 1 näher beschriebenen personenbezogenen Daten im Namen und nach Weisung des Restaurants zu verarbeiten.

Zweck des Auftrags ist:

• der technische Betrieb des Reservierungssystems;
• die administrative Abwicklung des Reservierungsverhältnisses zwischen Gast und Restaurant;
• die technische Unterstützung des Restaurants bei seinen Aufgaben als Verantwortlicher;
• die Sicherstellung von Datensicherungen und der Geschäftskontinuität.
  

Der Auftrag besteht für die Dauer des Abonnements (bzw. des Kontos) des Restaurants gemäß den AGB und endet mit dessen Beendigung automatisch. Das Restaurant ist berechtigt, den Auftrag durch die Selbstbedienungs-Löschung seines Kontos zu beenden; in diesem Fall gelten die Bestimmungen von Punkt 15.

Es liegt in der ausschließlichen Verantwortung des Restaurants sicherzustellen, dass Rechtsgrundlage, Zweck und Dauer der Verarbeitung der Gästedaten der DSGVO und den ungarischen Datenschutzvorschriften entsprechen.

Das Restaurant hat die Weisungen an Bukio schriftlich oder durch Nutzung der entsprechenden Funktion der Plattform zu erteilen. Die bestimmungsgemäße Nutzung der Plattform gilt als schriftliche Weisung an Bukio.

Das Restaurant ist verpflichtet:

• den Gästen seine eigene Datenschutzerklärung zugänglich zu machen und deren Annahme dokumentiert festzuhalten;
• sich auf der Plattform nur mit wahrheitsgemäßen und vollständigen Unternehmensdaten zu registrieren;
• bei der Ausübung der Rechte des Gastes nach der DSGVO als Verantwortlicher einzustehen;
• die Sicherheits- und Unterauftragsverarbeiter-Änderungsmitteilungen von Bukio zu verfolgen.
  

Die Gültigkeit, Rechtmäßigkeit und inhaltliche Angemessenheit der Datenschutzerklärung des Restaurants obliegt nach der DSGVO ausschließlich dem Restaurant als Verantwortlichem. Sofern das Restaurant die von der Plattform generierte Muster-Datenschutzerklärung verwendet, gewährleistet es ausdrücklich, dass es diese vorab durch einen Rechtsanwalt hat prüfen lassen, und erklärt mit deren Verwendung, dass sie für seine eigenen Verhältnisse rechtlich angemessen ist. Für die Folgen etwaiger Fehler der generierten Datenschutzerklärung – insbesondere Bußgelder der ungarischen Datenschutzbehörde (NAIH) und Schadensersatz – haftet ausschließlich das Restaurant. Bukio stellt lediglich den technischen Rahmen bereit; die Rechtmäßigkeit wird nicht gewährleistet.

Das Restaurant sichert zu, dass es über eine Rechtsgrundlage für die Verarbeitung der Gästedaten verfügt, dass eine Verarbeitung zu Marketingzwecken ausschließlich auf einer geeigneten Rechtsgrundlage erfolgt und dass es gegenüber dem Gast in allen Angelegenheiten vollumfänglich einsteht, die außerhalb der Rolle von Bukio als Auftragsverarbeiter liegen.

Bukio verpflichtet sich ausdrücklich:

• die Gästedaten ausschließlich auf schriftliche Weisung des Restaurants zu verarbeiten, es sei denn, die Verarbeitung ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats vorgeschrieben; hält Bukio eine Weisung für datenschutzrechtswidrig, informiert es das Restaurant unverzüglich;
• sicherzustellen, dass die Mitarbeiter und Mitwirkenden, die Zugang zu den Gästedaten haben, einer Vertraulichkeitspflicht unterliegen;
• technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO und Anlage 3 anzuwenden;
• Unterauftragsverarbeiter ausschließlich gemäß Punkt 9 und Anlage 2 einzusetzen;
• das Restaurant bei der Erfüllung der Rechte der betroffenen Personen (Gäste) zu unterstützen (Punkt 10);
• das Restaurant bei seinen Pflichten hinsichtlich Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung (DSFA) und vorheriger Konsultation zu unterstützen;
• bei Beendigung des Auftrags die Gästedaten gemäß Punkt 15 zu löschen oder zurückzugeben;
• für Audits gemäß Punkt 13 die erforderlichen Informationen bereitzustellen.
  

Bukio behandelt die Gästedaten vertraulich; an Dritte dürfen sie ausschließlich mit schriftlicher Genehmigung des Restaurants oder in dem zur Erfüllung einer gesetzlichen Verpflichtung erforderlichen Umfang weitergegeben werden. Mitarbeiter und Mitwirkende mit Zugang zu den Gästedaten bleiben auch nach Beendigung des Vertragsverhältnisses zur Vertraulichkeit verpflichtet.

Bukio ist berechtigt, Daten im Zusammenhang mit dem Betrieb der Plattform so zu anonymisieren und zu aggregieren, dass daraus keine natürliche Person und kein konkretes Restaurant identifizierbar ist; die so entstehenden anonymen statistischen Daten gelten nicht als personenbezogene Daten.

Mit der Annahme dieses AVV erteilt das Restaurant Bukio eine allgemeine, vorherige Genehmigung, zur Erfüllung des Auftrags Unterauftragsverarbeiter einzusetzen. Die aktuelle Liste der genehmigten Unterauftragsverarbeiter ist in Anlage 2 (Punkt 17) enthalten.

Die Einbeziehung eines neuen Unterauftragsverarbeiters teilt Bukio dem Restaurant – mindestens 30 Tage vor dem Einsatz – mit. Das Restaurant kann aus begründeten datenschutzrechtlichen Gründen Einspruch erheben. Kann dem Einspruch nicht abgeholfen werden, ist das Restaurant berechtigt, den Auftrag zum Tag des Beginns des Einsatzes des neuen Unterauftragsverarbeiters zu beenden.

Bukio haftet für die Tätigkeit der von ihm eingesetzten Unterauftragsverarbeiter wie für eigenes Handeln – unter Berücksichtigung der gesetzlich zulässigen Haftungsbeschränkungen. Mit den Unterauftragsverarbeitern besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Bukio unterstützt das Restaurant – auf dessen Weisung – bei der Erfüllung der DSGVO-Rechte der Gäste (Information, Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Die Plattform kann für die Ausübung einzelner Betroffenenrechte auch Selbstbedienungsfunktionen bereitstellen (z. B. Stornierung/Löschung auf der Seite „Reservierungen”).

Wendet sich ein Gast mit einem Betroffenenrecht direkt an Bukio, leitet Bukio – sofern die Anfrage in den Verantwortungsbereich des Restaurants als Verantwortlicher fällt – die Anfrage an das zuständige Restaurant weiter und wirkt als Auftragsverarbeiter an der Erfüllung mit. Bukio sagt für die Unterstützung der Anfrage eine technische Frist von höchstens 30 Tagen zu, mit Ausnahme der sofort wirksamen Selbstbedienungsfunktionen.

Bukio benachrichtigt das Restaurant ohne unangemessene Verzögerung, spätestens innerhalb von 48 Stunden nach Bekanntwerden des Vorfalls, über jede Verletzung des Schutzes personenbezogener Daten, die die unter diesen AVV fallenden Gästedaten des Restaurants betrifft.

Die Benachrichtigung enthält – soweit die Informationen bekannt sind – die Art des Vorfalls, die ungefähre Zahl und die Kategorien der betroffenen Daten und Personen, die Kontaktstelle, die voraussichtlichen Folgen sowie die ergriffenen oder geplanten Maßnahmen.

Hinsichtlich der diesem AVV unterliegenden Gästedaten ist die Meldung an die ungarische Datenschutzbehörde (NAIH) und die Benachrichtigung der Gäste in erster Linie Pflicht des Restaurants als Verantwortlicher. Bei einem Vorfall, der Daten betrifft, die Bukio in eigener Verantwortung als Verantwortlicher verarbeitet, erfüllt Bukio die ihm obliegenden gesetzlichen Pflichten gesondert.

Muss das Restaurant eine Datenschutz-Folgenabschätzung (DSFA) durchführen oder eine vorherige Konsultation einleiten, stellt Bukio auf schriftliche Anfrage des Restaurants die im Zusammenhang mit dem Betrieb der Plattform vernünftigerweise erforderlichen Informationen bereit. Die Unterstützung erstreckt sich nicht auf die Erstellung des DSFA-Dokuments oder die Durchführung der Konsultation mit der Aufsichtsbehörde.

Das Restaurant ist berechtigt, die Einhaltung der in diesem AVV festgelegten Pflichten durch Bukio zu überprüfen. Das Audit kann höchstens einmal jährlich, mit einer Vorankündigung von mindestens 30 Tagen, während der Geschäftszeiten, unter Wahrung der Vertraulichkeit und auf Kosten des Restaurants ausgeübt werden und darf die Daten anderer Restaurants, Geschäftsgeheimnisse oder den Quellcode von Bukio nicht berühren.

Bukio erfüllt das Auditrecht in erster Linie durch aktuelle Sicherheitszusammenfassungen, Dokumentation zu den Unterauftragsverarbeitern und schriftliche Konformitätserklärungen. Ein tiefergehendes technisches Audit kann verlangt werden, wenn diese zur Prüfung des konkreten Datenschutzrisikos nicht ausreichen.

Das Restaurant nimmt zur Kenntnis und genehmigt, dass Bukio – aufgrund des Sitzes oder der globalen Infrastruktur einzelner in Anlage 2 aufgeführter Unterauftragsverarbeiter – die Gästedaten auch außerhalb des Europäischen Wirtschaftsraums, insbesondere in die Vereinigten Staaten, übermitteln kann. Die primäre Anwendungs-, Datenbank- und Cache-Infrastruktur von Bukio wird in der EU, in der Region Frankfurt, betrieben; die Sicherungskopien werden in der EU (Deutschland) gespeichert.

Bukio garantiert, dass jede derartige Übermittlung unter geeigneten Garantien erfolgt, insbesondere unter Anwendung des EU-US Data Privacy Framework (DPF), der Standardvertragsklauseln (SCC) sowie erforderlichenfalls ergänzender Maßnahmen. Eine Kopie der angewandten Garantien kann das Restaurant unter privacy@bukio.hu anfordern.

Bei Beendigung des Auftrags wird Bukio – nach Wahl des Restaurants – die betreffenden Gästedaten:

• innerhalb von 30 Tagen nach der Beendigung löschen, oder
• innerhalb von 30 Tagen nach der Beendigung an das Restaurant zurückgeben (z. B. per Export).
  
  Trifft das Restaurant keine Wahl, führt Bukio die Löschung durch. Die Selbstbedienungs-Löschung des Kontos durch das Restaurant gilt als Wahl der Löschung.
  

Die Löschung berührt nicht die Daten, zu deren Aufbewahrung Bukio nach Unionsrecht oder ungarischem Recht verpflichtet ist; diese bewahrt Bukio gesondert und ausschließlich zum Aufbewahrungszweck auf. In Sicherungskopien enthaltene gelöschte Daten werden entsprechend dem Rotationszyklus der Sicherungen innerhalb von höchstens 30 Tagen endgültig entfernt oder überschrieben und im Regelbetrieb nicht wiederhergestellt, außer zu Zwecken der Geschäftskontinuität oder der Behandlung von Sicherheitsvorfällen.

Die Parteien erkennen an, dass das Restaurant in erster Linie für seine eigene Verarbeitungstätigkeit haftet, Bukio hingegen dann, wenn es die speziell für Auftragsverarbeiter geltenden DSGVO-Pflichten verletzt oder eine rechtmäßige Weisung des Restaurants missachtet hat. Die Schadensersatzhaftung von Bukio besteht im Rahmen der in Punkt 8 der AGB festgelegten Grenzen; die Beschränkung gilt nicht für die zwingenden Haftungsregeln nach Art. 82 DSGVO. Das Restaurant stellt Bukio von allen Ansprüchen und Bußgeldern frei, die aus der Verletzung der Pflichten des Restaurants als Verantwortlicher entstehen.

Die Gäste, die das Reservierungssystem des Restaurants nutzen – natürliche Personen.

Vorgänge: Erhebung, Erfassung, Speicherung, Änderung, Abfrage, Anzeige, Export, Sicherung (Backup), Wiederherstellung, Löschung, Übermittlung an Unterauftragsverarbeiter.



Besondere Kategorien von Daten: Bukio erhebt im Rahmen des Auftrags keine besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO. Im Feld „Sonderwunsch” kann der Gast solche Angaben freiwillig machen (z. B. Allergien); diese verarbeitet das Restaurant (Verantwortlicher) ausschließlich in dem zur Erfüllung der Reservierung erforderlichen Umfang.

Vor der Aktualisierung dieser Anlage erfüllt Bukio seine Pflicht zur vorherigen Benachrichtigung gemäß Punkt 9.2.

• Vercel Inc. (USA; Ausführungsregion: Frankfurt, EU) – Hosting, Anwendungs-Hosting, Infrastruktur. Garantien: DPF / SCC.
• MongoDB, Inc. (Atlas) (USA; Region: Frankfurt, EU) – Datenbank und Datenspeicherung. Garantien: DPF / SCC.
• Upstash Inc. (USA; Region: Frankfurt, EU) – Redis-Cache, temporäre Speicherung von OTP, Rate Limiting. Garantien: DPF / SCC.
• Twilio SendGrid Inc. (USA; globale Verarbeitung möglich) – Zustellung von Transaktions-E-Mails. Garantien: DPF / SCC.
• Hetzner Online GmbH (Deutschland; Region: EU) – Speicherung der verschlüsselten Sicherungskopien der Datenbank auf einem vom Produktivsystem getrennten Server. Garantien: Verarbeitung innerhalb der EU (ohne Übermittlung in Drittländer).
• OneSignal, Inc. (USA) – Zustellung von Browser-Benachrichtigungen (Web Push) an die Restaurant-Nutzer in der Admin-Oberfläche; die Benachrichtigung kann die Grunddaten der Reservierung (z. B. Zeitpunkt, Personenzahl, Name des Reservierenden) enthalten. Auf dem gastseitigen Reservierungsformular und in der Mobil-App wird sie nicht eingesetzt. Garantien: DPF / SCC.
  
  Hinweis: Die Kartenzahlung wird von Stripe (Stripe Payments Europe, Ltd. / Stripe, Inc.) bereitgestellt und steht im Zusammenhang mit der eigenen Abrechnungsverarbeitung von Bukio als Verantwortlicher (Zahlungsdaten der Restaurant-Nutzer). Stripe hat keinen Zugang zu den Gästedaten, die Gegenstand dieses AVV sind, und gilt daher nicht als Unterauftragsverarbeiter im Sinne dieses AVV; Einzelheiten sind in der Datenschutzerklärung von Bukio enthalten.