Auftragsverarbeitung (AVV)

Wenn Sie GastroCalculator in Ihrem Betrieb nutzen, speichern Sie unter Umständen personenbezogene Daten Dritter in der App – zum Beispiel Namen von Ansprechpersonen auf Lieferantenrechnungen oder Namen von Mitarbeitenden. Für diese Daten sind Sie als Kunde datenschutzrechtlich Verantwortlicher, GastroCalculator verarbeitet sie als Auftragsverarbeiter nach Art. 28 DSGVO.

So erhalten Sie einen AVV

Geschäftskunden können jederzeit kostenlos einen Auftragsverarbeitungsvertrag (AVV) anfordern:

• Per E-Mail an office@gastrocalculator.com, Betreff „AVV-Anfrage“
• Bitte angeben: Firmenname, Anschrift, Ansprechperson, die E-Mail-Adresse Ihres GastroCalculator-Kontos

Sie erhalten den AVV auf Basis der unten stehenden Vorlage zur Unterschrift (elektronisch, z. B. als PDF).

Die aktuelle Liste der eingesetzten Unterauftragsverarbeiter finden Sie in Anlage 2 und in unserer Datenschutzerklärung.

§ 1 Gegenstand und Dauer

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Software GastroCalculator (Web-App, iOS-App, MCP-Server) gemäß den Nutzungsbedingungen („Hauptvertrag“).
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet automatisch mit Beendigung des Hauptvertrags, ohne dass es einer gesonderten Kündigung bedarf; Pflichten nach § 10 bleiben bestehen.

§ 2 Art, Zweck, Datenarten und Betroffene

§ 3 Weisungsgebundenheit

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder österreichischem Recht zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Die Weisungen werden durch den Hauptvertrag, diesen Vertrag und die Nutzung der Funktionen der Software durch den Verantwortlichen festgelegt. Weitere Weisungen erteilt der Verantwortliche in Textform an office@gastrocalculator.com.
3. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Verantwortlichen unverzüglich darauf hin.
4. Verbindet der Verantwortliche sein eigenes Konto bei einem Drittanbieter (z. B. Claude/Anthropic über den MCP-Server), gilt die dadurch ausgelöste Übermittlung von Daten an diesen Drittanbieter als Weisung des Verantwortlichen. Der Drittanbieter ist kein Unterauftragsverarbeiter des Auftragsverarbeiters; das Rechtsverhältnis besteht ausschließlich zwischen Verantwortlichem und Drittanbieter.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Datengeheimnis gemäß § 6 DSG).

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO. Er darf diese an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters per E-Mail. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann keine Einigung erzielt werden, ist der Verantwortliche zur außerordentlichen Kündigung des Hauptvertrags berechtigt.
3. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind.
4. Übermittlungen in Drittländer erfolgen nur unter Einhaltung der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder der Standardvertragsklauseln der EU-Kommission.

§ 7 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO). Wenden sich Betroffene direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter.
2. Er unterstützt den Verantwortlichen unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
3. Für Unterstützungsleistungen, die über die Funktionen der Software hinausgehen und nicht auf einem Verstoß des Auftragsverarbeiters beruhen, kann eine angemessene Vergütung vereinbart werden.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die im Konto hinterlegte Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO.

§ 9 Kontrollrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung.
2. Der Verantwortliche kann Überprüfungen – einschließlich Inspektionen – durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Inspektionen sind mit angemessener Frist (in der Regel 30 Tage) anzukündigen, während der üblichen Geschäftszeiten durchzuführen und dürfen den Betrieb nicht unverhältnismäßig stören. Der Nachweis kann vorrangig durch Selbstauskünfte, Fragebögen sowie Zertifikate und Prüfberichte der Unterauftragsverarbeiter (z. B. SOC 2, ISO 27001) erbracht werden.

§ 10 Löschung und Rückgabe

Nach Beendigung des Hauptvertrags kann der Verantwortliche seine Daten innerhalb von 30 Tagen über die Exportfunktion herunterladen. Danach löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, sofern nicht nach Unionsrecht oder österreichischem Recht eine Speicherpflicht besteht. Datensicherungen werden im Rahmen der regulären Rotation innerhalb von 30 Tagen überschrieben. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 11 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO dem nicht entgegensteht.

§ 12 Schlussbestimmungen

1. Bei Widersprüchen geht dieser Vertrag in Bezug auf den Datenschutz dem Hauptvertrag vor.
2. Änderungen und Ergänzungen bedürfen der Textform.
3. Es gilt österreichisches Recht. Gerichtsstand ist Wien.
4. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Ort, Datum: ______________________

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter betreibt keine eigene Server-Infrastruktur; die Verarbeitung erfolgt vollständig bei den in Anlage 2 genannten Unterauftragsverarbeitern.

Vertraulichkeit

• Zutrittskontrolle: Keine eigenen Serverräume; Rechenzentren der Unterauftragsverarbeiter mit ISO-27001- bzw. SOC-2-Zertifizierung
• Zugangskontrolle: Passwort-Richtlinie, Zwei-Faktor-Authentifizierung für alle Admin-Zugänge (Supabase, Vercel, Stripe, Google Cloud, Apple), Passwortmanager
• Zugriffskontrolle: Authentifizierung über Supabase Auth, Row Level Security (RLS) in der Datenbank, mandantengetrennte Datenhaltung, Rollen- und Berechtigungskonzept, Prinzip der geringsten Rechte für API-Schlüssel
• Trennungskontrolle: Getrennte Entwicklungs-/Test- und Produktivumgebungen; keine Echtdaten in Testumgebungen
• Pseudonymisierung/Verschlüsselung: Verschlüsselung gespeicherter Daten (at rest) beim Anbieter, Passwörter nur als Hash

Integrität

• Weitergabekontrolle: Übertragung ausschließlich TLS-verschlüsselt (HTTPS); OAuth-basierter Zugriff für den MCP-Server mit widerrufbaren Tokens
• Eingabekontrolle: Protokollierung administrativer Zugriffe und relevanter Änderungen

Verfügbarkeit und Belastbarkeit

• Automatische tägliche Backups der Datenbank, Rotation innerhalb von 30 Tagen
• Hosting auf redundanter Cloud-Infrastruktur; Monitoring von Fehlern und Verfügbarkeit
• Regelmäßige Sicherheitsupdates von Abhängigkeiten

Verfahren zur regelmäßigen Überprüfung

• Datenschutz-Management: Verzeichnis von Verarbeitungstätigkeiten, jährliche Überprüfung der TOM
• Incident-Response-Prozess für Datenschutzverletzungen
• Auftragskontrolle: AV-Verträge mit allen Unterauftragsverarbeitern; Prüfung von deren Zertifizierungen
• Datenschutzfreundliche Voreinstellungen: Maskierung von Eingaben bei Sitzungsaufzeichnung, keine Aufzeichnung in der Web-App

Anlage 2 – Unterauftragsverarbeiter

Stand: Oktober 2026

Geschäftssitz: Wien, Österreich. Die vollständige Geschäftsanschrift wird ergänzt.