Kunden-AVV Vorlage (Art. 28 DSGVO)

Die Vorlage regelt den Auftrag zur Verarbeitung von personenbezogenen Daten zwischen ameal.io und einem Kunden. Die Projektrolle umfasst Auftragsverarbeitung für Kunden (Antwort 2026-10-04): Der Kunde als Restaurant ist Verantwortlicher, ameal.io ist Auftragsverarbeiter.

Verwendung

Platzhalter stehen in eckigen Klammern und werden für jeden Kunden ausgefüllt.
Anlage 1 beschreibt die Verarbeitung.
Anlage 2 erfasst die Subunternehmer des Auftragsverarbeiters. Grundlage ist die öffentliche Subunternehmer-Liste.
Anlage 3 übernimmt die technischen und organisatorischen Maßnahmen.
Anlage 2 und Anlage 3 werden beim Vertragsabschluss als Snapshot eingefügt und gegengezeichnet. Ein Verweis auf die Dateien allein reicht dafür nicht. Der Snapshot hält den Vertragsstand beweisfähig. Der laufende Betrieb der Register geschieht weiter in den Registerdateien.
Änderungen der Subunternehmer laufen über § 4: Die öffentliche Liste wird 30 Kalendertage vor Wirksamkeit aktualisiert, der Kunde kann widersprechen. Eine persönliche E-Mail-Benachrichtigung ist nicht vorgesehen.

Vertragsparteien

Der Verantwortliche: [Name des Kunden, Rechtsform, Sitz, vertreten durch]
Ansprechpartner des Kunden: [Name, E-Mail-Adresse]
Der Auftragsverarbeiter: ameal.io GbR (nicht im Gesellschaftsregister), Geschäftsstelle Im Sonnenschein 2, 56244 Ötzingen, vertreten durch die Gesellschafter Julian Köhn und Benjamin Klein.
Ansprechpartner: hej@ameal.io

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten für den Verantwortlichen wie in Anlage 1 beschrieben, und zwar im Rahmen der Nutzung der ameal.io Plattform durch den Verantwortlichen. Der Vertrag gilt für die Dauer des Nutzungsvertrags zwischen den Parteien.

§ 2 Weisungen

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisen die in der Europäischen Union für den Auftragsverarbeiter geltenden Gesetze unmittelbar eine Verarbeitung an, führt er sie durch und teilt dies dem Verantwortlichen vor der Verarbeitung mit. Verbietet das Gesetz die Mitteilung, unterbleibt sie. (Art. 28(3) Buchstabe a DSGVO)
Weisungen laufen über drei Wege: über den Nutzungsvertrag, über die Konfiguration der Plattform im technischen Admin-Space und schriftlich per E-Mail.
Der Verantwortliche erteilt nur Weisungen, die das Recht der Europäischen Union und das Recht der Bundesrepublik Deutschland einhalten.
Fällt eine Weisung nach der Auslegung des Auftragsverarbeiters offensichtlich gegen dieses Recht, meldet er das dem Verantwortlichen unverzüglich und setzt die Verarbeitung aus, bis die Weisung geklärt ist.

§ 3 Pflichten des Auftragsverarbeiters

Er gestattet die Verarbeitung nur Personen, die er zur Vertraulichkeit verpflichtet hat, oder nur Subunternehmer mit gleichwertiger Verbindlichkeit. Die Pflicht gilt über das Ende der Tätigkeit hinaus (Art. 28(3) Buchstabe b DSGVO).
Er richtet die Sicherheit der Verarbeitung nach Art. 32 DSGVO ein und passt sie nach Anlage 3 an (Art. 28(3) Buchstabe c DSGVO).
Er übermittelt die Daten nicht an weitere Empfänger, als dieser Vertrag und § 4 es gestatten.
Er meldet Beeinträchtigungen des Schutzes personenbezogener Daten (Art. 33 DSGVO) unverzüglich nach der Feststellung, spätestens 48 Stunden danach. Die Meldung nennt den Verlauf, die Datenkategorien und die Anzahl der betroffenen Personen, soweit diese bekannt sind.
Er hilft dem Verantwortlichen beim Umgang mit Anfragen betroffener Personen nach Art. 15 bis 21 DSGVO (Art. 28(3) Buchstabe e DSGVO). Er beantwortet sie binnen [Frist, zum Beispiel vier Wochen].
Er hilft dem Verantwortlichen bei den Pflichten aus Art. 32 bis 36 DSGVO, mit dem angemessenen Aufwand (Art. 28(3) Buchstabe f DSGVO).
Am Ende der Verarbeitung löscht oder gibt er die Daten zurück, wie in § 7 geregelt (Art. 28(3) Buchstabe g DSGVO).
Er gibt dem Verantwortlichen alle Auskünfte, die der Verantwortliche braucht, um seine Pflichten einzuhalten und die Einhaltung zu belegen (Art. 28(3) Buchstabe h DSGVO).

§ 4 Subunternehmer

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Erlaubnis zur Beauftragung weiterer Auftragsverarbeiter (Art. 28(2) DSGVO). Die Erlaubnis erfasst die Subunternehmer, die zum Zeitpunkt des Vertragsabschlusses in Anlage 2 stehen.
Neue oder geänderte Subunternehmer kündigt der Auftragsverarbeiter so an: Er aktualisiert die öffentliche Subunternehmer-Liste spätestens 30 Kalendertage vor Beginn der Verarbeitung durch den neuen Subunternehmer (Art. 28(2) und (4) DSGVO).
Für jeden Subunternehmer sichert der Auftragsverarbeiter Datenschutzpflichten zu, die denen dieses Vertrags entsprechen (Art. 28(4) DSGVO).
Verletzt ein Subunternehmer Pflichten aus diesem Vertrag, haftet der Auftragsverarbeiter dem Verantwortlichen dafür vollumfänglich (Art. 28(4) DSGVO).
Der Verantwortliche kann innerhalb dieser 30 Kalendertage dem Einsatz des neuen oder geänderten Subunternehmers widersprechen, schriftlich per E-Mail an die Kontaktadresse des Auftragsverarbeiters (hej@ameal.io).
Läuft ein Widerspruch, beginnt der neue Subunternehmer erst nach einer Einigung zwischen den Parteien.
Kann der Auftragsverarbeiter die betroffene Verarbeitung ohne den umstrittenen Subunternehmer nicht mehr erbringen, darf der Verantwortliche den Nutzungsvertrag hinsichtlich des betroffenen Vertragsanteils fristlos kündigen.

§ 5 Pflichten des Verantwortlichen

Der Verantwortliche sammelt und verarbeitet personenbezogene Daten rechtmäßig. Er erteilt nur Weisungen, die § 2 erlaubt.
Er benennt einen Ansprechpartner für Anfragen betroffener Personen und für Störungsmeldungen. Name und E-Mail-Adresse stehen im Kopf dieses Vertrags.
Er genehmigt die Maßnahmen aus Anlage 3 vor dem Start der Verarbeitung.

§ 6 Kontrolle und Nachweise

Der Auftragsverarbeiter gibt auf Anfrage Einblick in die Beschreibung der Verfahren und die verwendeten Maßnahmen.
Er macht Nachweise verfügbar, zum Beispiel Zertifikate, Prüfberichte oder die Verträge mit seinen Subunternehmern.
Die Kontrolle erfolgt einmal je Kalenderjahr und zusätzlich bei einem konkreten Anlass. Der Verantwortliche trägt die Kosten einer Kontrolle ohne konkreten Anlass selbst.
Entdeckt die Kontrolle einen Mangel, behebt der Auftragsverarbeiter ihn und bestätigt die Behebung schriftlich.

§ 7 Rückgabe und Löschung

Nach dem Ende des Nutzungsvertrags wählt der Verantwortliche: Rückgabe der Daten in einem technisch gängigen Format oder Löschung der Daten.
Der Auftragsverarbeiter löscht auch die Kopien und bestätigt die Löschung schriftlich.
Daten in Sicherungskopien löscht er mit den dort geltenden Aufbewahrungsfristen (Anlage 3, Maßnahme S9). Auskunft über den Stand der Löschung gibt er auf Anfrage.

§ 8 Drittlandtransfer

Der Auftragsverarbeiter überträgt personenbezogene Daten nur in Länder außerhalb der EU und des EWR, wenn ein zulässiges Übertragungsinstrument nach Kapitel V DSGVO vorliegt. Zum Beispiel die Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) oder eine Zertifizierung nach Art. 43 DSGVO, etwa das EU-US Data Privacy Framework.
Die Transferbasis je Subunternehmer steht in Anlage 2. Ohne gültige Basis überträgt er die Daten des Kunden zum betroffenen Subunternehmer nicht. Offene Basen benennt er vor der Unterzeichnung, und er schließt sie, bevor Daten zum betroffenen Subunternehmer laufen.

§ 9 Schlussbestimmungen

Änderungen dieses Vertrags bedürfen der Schriftform. Die Aktualisierung der öffentlichen Liste nach § 4 bedarf keiner Schriftform.
Für Schäden aus der Verarbeitung haften die Parteien nach Art. 82 DSGVO und den übrigen Gesetzen.
Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist [Sitz des Auftragsverarbeiters].

[Ort, Datum]

Für den Verantwortlichen: [Name, Funktion, Unterschrift] Für den Auftragsverarbeiter: [Name, Funktion, Unterschrift]

Anlage 1: Beschreibung der Verarbeitung

Feld	Wert
Gegenstand	Betrieb der ameal.io Plattform für den Kunden
Dauer	Dauer des Nutzungsvertrags. [Beginn und Ende oder Befristung]
Art und Zweck	Speichern von Konten- und Speisekartendaten, KI-Extraktion und Klassifizierung von Speisekarten, Anzeige der öffentlichen Restaurantseite, Sammeln von Bewertungen, E-Mail-Versand für Aktionen am Konto (Verifizierung, Passwort-Reset)
Datenkategorien	Kontodaten (E-Mail, Name, Passwort-Hash), Restaurant-Stammdaten, Speisekarteninhalte und Uploads, Bewertungen und Feedback der Gäste, IPs in Logs, Sucheingaben der Gäste.
Betroffene	Betreiber-Konten des Kunden, Gäste und Besucher der öffentlichen Seiten
Besonderes	Sucheingaben der Gäste können Allergen-Wörter enthalten. Das Register behandelt sie nicht als Art.-9-Profil, weil sie nicht mit Konto, Ort oder E-Mail verknüpft sind. Geplante Gast-Allergen-Profile sind nicht gebaut.
Analytics-Daten	Analyse-Cookies, pseudonyme Kennungen, IP-Adressen, Geräte- und Browsermerkmale. Nur auf den öffentlichen Seiten und nur nach Einwilligung (siehe Anlage 2). Eine Kürzung der IP steht in der Datenschutzerklärung, nicht im App-Code.
Datenmengen	[anzugeben bei Vertragsabschluss]

Anlage 2: Subunternehmer

Snapshot der öffentlichen Subunternehmer-Liste, Stand [Datum des Vertragsabschlusses]. Die gegengezeichnete Fassung gilt im Vertragsfall. Änderungen der Liste laufen über § 4.

Anlage 3: Technische und organisatorische Maßnahmen

Snapshot der technischen und organisatorischen Maßnahmen, Stand [Datum des Vertragsabschlusses]. Anpassungen aus der Vertragsverhandlung werden hier eingetragen und gezeichnet. Diese Anlage gilt mit Genehmigung des Verantwortlichen nach § 5.