Vertrag über die Auftragsverarbeitung (AVV)
gemäß Art. 28 DSGVO
Zwischen
dem Auftraggeber – nachfolgend „Verantwortlicher“ –
der natürlichen oder juristischen Person, die diesen Vertrag als Kundin/Kunde von
GastroInfoScreen abschließt (Angaben gemäß Hauptvertrag / Bestellung)
und
dem Auftragnehmer – nachfolgend „Auftragsverarbeiter“ –
Dennis Westermann, Einzelunternehmer
Feldstr. 20, 27386 Kirchwalsede
> [USt-IdNr. / Steuernummer, soweit vorhanden]
datenschutz@gastroinfoscreen.de
.gastroinfoscreen.de
– gemeinsam die „Parteien“ –
wird der folgende Vertrag zur Auftragsverarbeitung geschlossen.
§ 1 Gegenstand und Grundlage des Auftrags
(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten durch den
Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung und des
Betriebs der Software-as-a-Service-Anwendung „GastroInfoScreen“ (digitale
Infoscreens, Speisekarten-/Menüverwaltung, Veranstaltungs- und Ticket-/
Reservierungsverwaltung, Feedback-Umfragen, Photobox sowie zugehörige Verwaltungs- und
Anzeigefunktionen).
(2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag
und nach Weisung des Verantwortlichen im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO. Die
Einzelheiten von Art, Umfang, Zweck, Datenkategorien und betroffenen Personen ergeben
sich aus diesem Vertrag und aus Anlage 1.
(3) Der Verantwortliche bleibt im datenschutzrechtlichen Sinne alleiniger „Verantwortlicher“
gemäß Art. 4 Nr. 7 DSGVO. Er ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für
das Vorliegen einer Rechtsgrundlage sowie für die Wahrung der Rechte betroffener Personen,
verantwortlich.
(4) Dieser Vertrag ist dem zwischen den Parteien geschlossenen Hauptvertrag (Nutzungs-/
Lizenzvertrag über GastroInfoScreen) untergeordnet und ergänzt diesen. Bei Widersprüchen
zwischen den Regelungen dieses Vertrages und denen des Hauptvertrages gehen in Bezug auf
den Datenschutz die Regelungen dieses Vertrages vor.
§ 2 Dauer des Auftrags
(1) Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages, sofern sich
aus diesem Vertrag keine darüber hinausgehenden Verpflichtungen (insbesondere zur Löschung
oder Rückgabe von Daten) ergeben.
(2) Der Vertrag kann von beiden Parteien jederzeit aus wichtigem Grund gekündigt werden.
Ein wichtiger Grund liegt für den Verantwortlichen insbesondere vor, wenn der
Auftragsverarbeiter gegen wesentliche Pflichten dieses Vertrages oder gegen
datenschutzrechtliche Bestimmungen verstößt.
§ 3 Art der Daten, Kreis der Betroffenen, Zweck
Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien
betroffener Personen ergeben sich abschließend aus Anlage 1 zu diesem Vertrag.
§ 4 Weisungsrecht des Verantwortlichen
(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich im
Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des
Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats
zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In einem solchen Fall teilt er
dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das
betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses
verbietet.
(2) Weisungen werden grundsätzlich durch die Konfiguration und Nutzung der Plattform durch
den Verantwortlichen sowie durch den Hauptvertrag und diesen AVV erteilt. Einzelweisungen,
die darüber hinausgehen, bedürfen der Textform (z. B. E-Mail an datenschutz@gastroinfoscreen.de).
Der Auftragsverarbeiter dokumentiert Weisungen.
(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche
Vorschriften verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen
(Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Durchführung der betreffenden Weisung
bis zu deren Bestätigung oder Änderung auszusetzen.
§ 5 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich insbesondere:
(1) personenbezogene Daten nur im Rahmen der Weisungen des Verantwortlichen zu verarbeiten;
werden Daten in ein Drittland oder an eine internationale Organisation übermittelt, geschieht
dies nur, soweit eine entsprechende Weisung oder gesetzliche Verpflichtung besteht und die
Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind;
(2) die Vertraulichkeit zu wahren und sicherzustellen, dass sich die zur Verarbeitung der
personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer
angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b,
Art. 29, Art. 32 Abs. 4 DSGVO);
(3) geeignete technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO zu
treffen und während der Vertragslaufzeit aufrechtzuerhalten; die zum Zeitpunkt des
Vertragsschlusses umgesetzten Maßnahmen sind in Anlage 2 beschrieben;
(4) die Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern gemäß § 7 dieses
Vertrages einzuhalten;
(5) den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen
Maßnahmen dabei zu unterstützen, seiner Pflicht zur Beantwortung von Anträgen betroffener
Personen auf Wahrnehmung ihrer Rechte (Kapitel III DSGVO) nachzukommen (§ 6);
(6) den Verantwortlichen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten
zu unterstützen (Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes
personenbezogener Daten, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter
Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen;
(7) nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der
Erbringung der Verarbeitungsleistungen zu löschen oder zurückzugeben und vorhandene Kopien
zu löschen, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht (§ 9);
(8) dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der
in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen und Überprüfungen –
einschließlich Inspektionen – zu ermöglichen und dazu beizutragen (§ 8);
(9) eine betroffene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der
Regel innerhalb von 24 Stunden nach Kenntnisnahme, dem Verantwortlichen zu melden und ihn
bei dessen Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO zu unterstützen (§ 10);
(10) eine Person als Kontaktstelle für Datenschutzfragen zu benennen. Kontakt:
[datenschutz@gastroinfoscreen.de]. Ein gesetzlich verpflichtender Datenschutzbeauftragter
ist nach derzeitigem Stand nicht bestellt; sollte eine Bestellpflicht gemäß Art. 37 DSGVO /
§ 38 BDSG eintreten, wird der Auftragsverarbeiter dies nachholen und dem Verantwortlichen
mitteilen;
(11) ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Tätigkeiten der
Verarbeitung gemäß Art. 30 Abs. 2 DSGVO zu führen.
§ 6 Unterstützung bei Betroffenenrechten
(1) Wendet sich eine betroffene Person mit Anträgen zur Berichtigung, Löschung,
Einschränkung der Verarbeitung, Auskunft oder Datenübertragbarkeit unmittelbar an den
Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter und
beantwortet ihn nicht selbst.
(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten
bei der Erfüllung der Betroffenenrechte. Soweit Daten ausschließlich über die Plattform
zugänglich sind, stellt der Auftragsverarbeiter dem Verantwortlichen geeignete Funktionen zur
Auskunft, Berichtigung, Löschung und zum Export zur Verfügung (z. B. Verwaltung von
Reservierungen, Feedback-Antworten und Photobox-Inhalten im Administrationsbereich).
§ 7 Unterauftragsverarbeiter
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur
Hinzuziehung von Unterauftragsverarbeitern (Art. 28 Abs. 2 Satz 2 DSGVO). Die zum Zeitpunkt
des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung
in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern und räumt dem
Verantwortlichen die Möglichkeit ein, gegen derartige Änderungen innerhalb von zwei Wochen
Einspruch zu erheben. Erhebt der Verantwortliche aus wichtigem, datenschutzbezogenem Grund
Einspruch, sind die Parteien bemüht, eine einvernehmliche Lösung zu finden; gelingt dies
nicht, steht beiden Parteien ein Sonderkündigungsrecht zu.
(3) Der Auftragsverarbeiter stellt sicher, dass er mit jedem Unterauftragsverarbeiter einen
Vertrag schließt, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt, wie sie
in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter
seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem
Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.
(4) Nicht als Unterauftragsverarbeitung im Sinne dieser Vorschrift gelten Nebenleistungen,
die der Auftragsverarbeiter als Hilfsleistung in Anspruch nimmt (z. B. Telekommunikations-
leistungen, Wartung, Reinigung). Ebenfalls keine Unterauftragsverarbeitung des
Auftragsverarbeiters ist der vom Verantwortlichen selbst konfigurierte E-Mail-/SMTP-Versand
für Ticket-/Reservierungsbestätigungen: Der Verantwortliche hinterlegt hierfür einen eigenen
Mailserver/Mailprovider; dessen datenschutzrechtliche Einbindung obliegt dem Verantwortlichen.
§ 8 Kontrollrechte des Verantwortlichen
(1) Der Verantwortliche hat das Recht, die Einhaltung der gesetzlichen Vorschriften zum
Datenschutz und der Regelungen dieses Vertrages durch den Auftragsverarbeiter zu überprüfen
bzw. überprüfen zu lassen (Art. 28 Abs. 3 lit. h DSGVO).
(2) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung die zum Nachweis der
Einhaltung erforderlichen Informationen zur Verfügung. Der Nachweis kann auch durch die
Vorlage geeigneter, aktueller Zertifizierungen, Testate oder Prüfberichte (z. B. nach einem
genehmigten Verhaltenskodex oder einem anerkannten Zertifizierungsverfahren) erbracht werden.
(3) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung (in der Regel mindestens zwei
Wochen), zu den üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen.
Sie dürfen die Betriebs- und Geschäftsgeheimnisse sowie den Schutz der Daten anderer Kunden
nicht gefährden.
§ 9 Löschung und Rückgabe von Daten
(1) Nach Beendigung des Auftragsverhältnisses hat der Auftragsverarbeiter sämtliche im
Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen entweder zu
löschen oder ihm zurückzugeben, sofern keine gesetzliche Pflicht zur Speicherung besteht.
(2) Der Verantwortliche kann seine Daten über die Plattform exportieren, solange der Zugang
besteht. Nach endgültiger Vertragsbeendigung werden die Daten innerhalb von [30] Tagen
gelöscht, einschließlich der Daten in Backups im Rahmen des regulären Backup-Zyklus.
(3) Dokumentationen, die dem Nachweis der ordnungs- und vereinbarungsgemäßen
Datenverarbeitung dienen, dürfen über das Vertragsende hinaus entsprechend den jeweiligen
Aufbewahrungsfristen aufbewahrt werden.
§ 10 Meldung von Verletzungen des Schutzes personenbezogener Daten
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den
Art. 33 und 34 DSGVO genannten Pflichten.
(2) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem
Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden. Die
Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit
verfügbar.
§ 11 Haftung
(1) Für die Haftung gelten die Regelungen des Art. 82 DSGVO sowie die Haftungsregelungen des
Hauptvertrages, soweit dieser Vertrag keine abweichenden Regelungen enthält.
(2) Der Verantwortliche und der Auftragsverarbeiter haften gegenüber betroffenen Personen
entsprechend der in Art. 82 DSGVO getroffenen Regelung.
§ 12 Schlussbestimmungen
(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform. Dies gilt auch für die
Aufhebung dieses Formerfordernisses.
(2) Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, so berührt
dies die Wirksamkeit der übrigen Bestimmungen nicht.
(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist – soweit gesetzlich
zulässig – [Ort des Sitzes des Auftragsverarbeiters].
Anlage 1 – Gegenstand, Art, Zweck, Datenkategorien und Betroffene
Gegenstand der Verarbeitung: Bereitstellung und Betrieb der SaaS-Plattform
GastroInfoScreen zur Verwaltung und Anzeige digitaler Gastronomie-Informationen.
Art der Verarbeitung: Erheben, Erfassen, Speichern, Organisieren, Anzeigen, Auslesen,
Verändern, Übermitteln (z. B. Übersetzung, Versand von Bestätigungen), Löschen.
Zweck: Erbringung der vertraglich vereinbarten Plattformleistungen für den
Verantwortlichen.
Kategorien betroffener Personen
– Gäste / Endkunden des Verantwortlichen (Reservierende, Ticketbestellende,
Umfrage-Teilnehmende, Photobox-Nutzende)
– Mitarbeitende / Administratoren des Verantwortlichen (Login-/Verwaltungszugänge)
Kategorien personenbezogener Daten
Modul / Funktion Verarbeitete Daten
Tickets / Reservierungen Vorname, Nachname, ggf. Gruppen-/Personenname, Anschrift (Straße, Hausnummer, PLZ, Ort), Telefonnummer, E-Mail-Adresse, Anzahl/Stückzahl, Bestell-/Zahlungsstatus, Zugriffs-Token, Zeitstempel
Ticket-Bestätigungen (E-Mail) Empfänger-E-Mail und Inhalte der Bestätigung (Versand über vom Verantwortlichen konfigurierten SMTP-Server)
Photobox Von Gästen hochgeladene Foto-/Bilddateien (können Abbildungen von Personen enthalten), Upload-Token/-Passwort, Zuordnung zu Veranstaltung
Feedback-Umfragen Umfrageantworten (grundsätzlich ohne Namens-/Kontaktdaten gespeichert); Freitextantworten können personenbezogene Angaben enthalten
Login / IT-Sicherheit IP-Adresse (zur Begrenzung fehlgeschlagener Login-Versuche / Missbrauchsabwehr), Zugangsdaten der Administratoren (Passwort als Hash), Session-Daten
Shortlinks / Aufruf-Statistik Aggregierte Aufrufzahlen pro Tag und Kurzcode – keine IP-Adressen oder Einzelprofile
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): werden nicht zielgerichtet
verarbeitet. Der Verantwortliche stellt sicher, dass er über Eingabefelder (z. B. Freitext,
Photobox) keine besonderen Kategorien personenbezogener Daten ohne Rechtsgrundlage erhebt.
Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragsverarbeiter setzt – teils gemeinsam mit dem Hosting-Unterauftragsverarbeiter –
nach derzeitigem Stand insbesondere folgende Maßnahmen um. (Vor Verwendung an den
tatsächlichen Stand anpassen – die folgenden Punkte spiegeln den im Code erkennbaren Stand
wider und sind ggf. zu ergänzen.)
1. Vertraulichkeit
– Zutrittskontrolle: Server im Rechenzentrum eines deutschen/EU-Hosters mit
Zutrittsschutz (siehe Anlage 3).
– Zugangskontrolle: Passwortgeschützter Administrationsbereich; Passwörter werden
ausschließlich als kryptografischer Hash gespeichert; Rate-Limiting / Sperre nach
wiederholten fehlgeschlagenen Login-Versuchen anhand der IP-Adresse.
– Zugriffskontrolle: Mandantentrennung über eindeutige Kunden-ID, jeder
Datenzugriff ist auf die jeweiligen Kunden beschränkt; CSRF-Schutz bei sensiblen Aktionen
(z. B. OAuth-State-Token).
– Verschlüsselung der Gästedaten (Field-Level-Encryption): Personenbezogene Daten aus
Reservierungen (Vor-/Nachname, Gruppenname, Anschrift, Telefonnummer, E-Mail-Adresse) werden
vor der Speicherung feldweise mit AES-256-GCM verschlüsselt (authentifizierte
Verschlüsselung auf Anwendungsebene). Der hierfür verwendete Schlüssel wird getrennt von
der Datenbank als serverseitige Umgebungsvariable vorgehalten;
ein Zugriff allein auf den Datenbankbestand erlaubt damit keine Klartext-Auswertung dieser
Daten.
– Verschlüsselung der Konfigurationsgeheimnisse: Sensible Konfigurationsdaten (z. B. die vom
Verantwortlichen hinterlegten SMTP-Zugangsdaten für den Mailversand) werden mit demselben
Verfahren verschlüsselt gespeichert.
– Verschlüsselung der Übertragung: Sämtliche Datenübertragung zwischen Endgerät und
Plattform erfolgt ausschließlich über HTTPS/TLS.
– Schutz serverinterner Dateien: Private/serverinterne Skripte und Konfigurationen liegen
außerhalb des öffentlich erreichbaren Verzeichnisbaums.
2. Integrität
– Eingabekontrolle / SQL-Schutz: Datenbankzugriffe über parametrisierte Statements (PDO
Prepared Statements).
– Weitergabekontrolle: Externe API-Zugriffe (z. B. Übersetzung, Google) nur über
authentifizierte, eingeschränkte Schnittstellen und nur bei aktiver Nutzung durch den
Verantwortlichen; CORS-Beschränkung der internen API auf `https://app.gastroinfoscreen.de`.
3. Verfügbarkeit und Belastbarkeit
– Regelmäßige Datensicherung durch den Hosting-Unterauftragsverarbeiter; Wiederherstellbarkeit
im Rahmen des Backup-Konzepts. (Backup-Intervall/Aufbewahrung konkretisieren.)
4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung
– Fehler-/Ereignisprotokollierung (z. B. `php_errors.log`); Überprüfung und Anpassung der
Maßnahmen bei Änderungen der Plattform.
– Auftragskontrolle: Verarbeitung ausschließlich auf Grundlage dieses Vertrages.
> ⚠️ Noch zu konkretisieren/verifizieren: Backup-Frequenz und -Aufbewahrung, Serverstandort,
> Protokollierungsumfang und Patch-Management. Die feldweise Verschlüsselung der Gästedaten ist
> umgesetzt; für übrige Bestände (z. B. Photobox-Bilddateien) ist zu prüfen, ob zusätzlich eine
> Verschlüsselung der Datenträger beim Hoster („at rest“) besteht.
Anlage 3 – Unterauftragsverarbeiter
Unternehmen Leistung Verarbeitete Daten Standort Einsatz
[Hosting-Provider, z. B. Hetzner Online GmbH / IONOS SE / netcup GmbH], [Anschrift] Hosting von Anwendung, Datenbank und Backups (`app.gastroinfoscreen.de`) alle in Anlage 1 genannten Daten Deutschland / EU immer
Cloudflare, Inc. / cdnjs (CDN für JavaScript-Bibliotheken) Auslieferung statischer Frontend-Bibliotheken technische Verbindungsdaten (u. a. IP-Adresse, Browserdaten) der Seitenbesucher u. a. USA (Standardvertragsklauseln gem. Art. 46 DSGVO) immer
DeepL SE, Maarweg 165, 50825 Köln, Deutschland Maschinelle Übersetzung von Speisekarten-/Menütexten eingegebene Menü-/Texteinträge (i. d. R. ohne Personenbezug) Deutschland / EU optional – nur wenn der Verantwortliche die Übersetzungsfunktion mit eigenem DeepL-API-Schlüssel nutzt
Google Ireland Ltd. / Google LLC (Google Business Profile API, Scope `business.manage`) Veröffentlichung von „Staff-Updates“ / Beiträgen im Google-Unternehmensprofil vom Verantwortlichen freigegebene Inhalte; OAuth-Tokens EU / USA (SCC) optional – nur wenn der Verantwortliche sein Google-Unternehmensprofil verknüpft
> Kein Unterauftragsverarbeiter des Auftragsverarbeiters: Der für Ticket-/
> Reservierungsbestätigungen genutzte SMTP-/Mailserver wird vom Verantwortlichen selbst
> hinterlegt und betrieben (eigener Host, Zugangsdaten und Absenderadresse pro Kunde). Die
> datenschutzkonforme Einbindung dieses Mailproviders obliegt dem Verantwortlichen.
> ⚠️ Hosting-Provider (Name, Anschrift, Serverstandort) und der konkrete CDN-Einsatz sind vor
> Verwendung zu prüfen und einzutragen. Falls Frontend-Bibliotheken vollständig selbst gehostet
> werden, ist der CDN-Eintrag zu streichen.
Detailangaben zu den optionalen Drittdiensten
Die beiden folgenden Dienste sind nicht standardmäßig aktiv. Sie kommen ausschließlich
dann zum Einsatz, wenn der Verantwortliche die jeweilige Funktion in seinem Account selbst
aktiviert und mit eigenen Zugangsdaten (DeepL-API-Schlüssel bzw. Google-Konto) verknüpft.
Aktiviert der Verantwortliche die Funktion nicht, findet keine Übermittlung an den jeweiligen
Dienst statt.
a) DeepL – Maschinelle Übersetzung von Speisekarten
– Anbieter: DeepL SE, Maarweg 165, 50825 Köln, Deutschland.
– Zweck: Automatische Übersetzung von Speisekarten- bzw. Artikelinhalten in weitere
Sprachen.
– Übermittelte Daten: Die vom Verantwortlichen eingegebenen Menü-/Artikeltexte
(Bezeichnung und Beschreibung). Diese Inhalte sind in aller Regel nicht personenbezogen;
der Verantwortliche stellt sicher, dass er keine personenbezogenen Daten in zu übersetzende
Texte aufnimmt.
– Auslösung & Zugangsdaten: Die Übersetzung erfolgt nur auf aktive Veranlassung im
Administrationsbereich. Der Verantwortliche hinterlegt hierfür seinen eigenen
DeepL-API-Schlüssel (Feld `api_deepl`); ohne hinterlegten Schlüssel ist die Funktion
deaktiviert. Es besteht insoweit zugleich eine Vertragsbeziehung des Verantwortlichen zu
DeepL.
– Standort/Drittland: Verarbeitung innerhalb der EU; kein Drittlandtransfer.
– Rechtsgrundlage der DeepL-Nutzung: Es gelten die Datenschutz- und Auftragsverarbeitungs-
bedingungen von DeepL; deren Einbindung ist bei aktiver Nutzung vom Verantwortlichen zu
beachten.
b) Google Business Profile – Veröffentlichung von Beiträgen / „Staff-Updates“
– Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (für
Verarbeitungen außerhalb der USA), ggf. Google LLC, 1600 Amphitheatre Parkway, Mountain View,
CA 94043, USA.
– Zweck: Veröffentlichung von Beiträgen/Aktualisierungen im Google-Unternehmensprofil des
Verantwortlichen (API-Scope `business.manage`).
– Übermittelte Daten: Die vom Verantwortlichen selbst erstellten Beitragsinhalte (Texte,
ggf. Bild-/Logo-Verweise) sowie die im Rahmen der Anbindung erzeugten OAuth-Zugriffs-/
Aktualisierungs-Tokens. Die OAuth-Tokens werden serverseitig gespeichert, um Beiträge im
Namen des verknüpften Profils veröffentlichen zu können.
– Auslösung & Zugangsdaten: Die Anbindung erfolgt ausschließlich durch eine aktive
Verknüpfung des Google-Kontos des Verantwortlichen über das OAuth-Verfahren (mit
CSRF-/State-Token-Prüfung). Ohne diese Verknüpfung findet keine Übermittlung an Google statt.
– Standort/Drittland: Die Verarbeitung kann eine Übermittlung in die USA umfassen.
Soweit erforderlich, stützt sich die Übermittlung auf die EU-Standardvertragsklauseln
(Art. 46 DSGVO) bzw. den EU-US Data Privacy Framework-Status von Google.
– Rechtsgrundlage der Google-Nutzung: Es gelten zusätzlich die Datenschutz- und
Nutzungsbedingungen von Google; deren Einbindung ist bei aktiver Nutzung vom Verantwortlichen
zu beachten.
> ⚠️ Da der Verantwortliche bei beiden Diensten mit eigenen Zugangsdaten/Konten agiert,
> kann je nach Ausgestaltung eine eigene (direkte) Verantwortlichkeit bzw. ein eigener Vertrag
> des Verantwortlichen mit DeepL/Google bestehen. Die genaue Rolleneinordnung sollte im
> Einzelfall rechtlich geprüft werden.
Unterschriften
Verantwortlicher (Auftraggeber) Auftragsverarbeiter (Auftragnehmer)
Ort, Datum: ____________________ Ort, Datum: ____________________
Name: __________________________ Name: [Vor- und Nachname]
Unterschrift: ___________________ Unterschrift: ___________________
