Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO · Bestandteil der AGB · Stand: Oktober 2026
Verantwortlicher: der jeweilige Kunde von GewerbeWerkstatt (Betrieb laut Bestellung bzw. Rechnung)
Auftragsverarbeiter: Yvonne Hofmann – GewerbeWerkstatt, Schotterwaldweg 2/1, 88048 Friedrichshafen
§ 1 Gegenstand und Dauer
Der Auftragsverarbeiter betreibt für den Verantwortlichen dessen Online-Auftritt auf der Plattform „GewerbeWerkstatt“ (u. a. Reservierung, Vorbestellung zur Abholung, Kontaktanfragen, Bewertungen, Stellenanzeigen und Bewerbungen, Team-Bereich). Die Laufzeit entspricht der des Hauptvertrags.
§ 2 Art, Umfang und Zweck der Verarbeitung
- Reservierungs- und Bestelldaten von Gästen (Name, Telefon, E-Mail, Datum, Uhrzeit, Personenzahl, Bestellung, Anmerkungen)
- Kontaktanfragen (Name, Kontaktdaten, Nachricht)
- Bewertungen (Name bzw. Pseudonym, Sterne, Kommentar)
- Bewerbungsdaten (Name, E-Mail, Nachricht, ggf. Lebenslauf)
- Interne Notizen der Mitarbeiter des Verantwortlichen (Tagesinfos)
Zweck ist ausschließlich die technische Bereitstellung dieser Funktionen, einschließlich des Versands von Bestätigungs- und Benachrichtigungs-E-Mails.
§ 3 Betroffene Personen
Gäste, Kunden, Interessenten, Bewerber und Mitarbeiter des Verantwortlichen.
§ 4 Pflichten des Auftragsverarbeiters
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen, außer eine gesetzliche Pflicht verlangt anderes.
- Verpflichtung aller zur Verarbeitung befugten Personen auf Vertraulichkeit.
- Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (siehe Anlage).
- Unterstützung bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung) und bei Pflichten nach Art. 32 bis 36 DSGVO.
- Meldung von Datenschutzverletzungen an den Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.
- Löschung oder Rückgabe aller personenbezogenen Daten nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Verantwortliche kann Daten jederzeit selbst im Team-Bereich löschen.
- Bereitstellung aller Informationen, die zum Nachweis der Einhaltung des Art. 28 DSGVO nötig sind.
§ 5 Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
- STRATO GmbH, Berlin – Hosting von Webseiten, Datenbank und E-Mail-Versand (Server in Deutschland)
- DeepL SE, Köln – nur Übersetzung hochgeladener Speisekarten bzw. Preislisten (keine Gast- oder Bewerberdaten), sofern genutzt
Über geplante Änderungen informiert der Auftragsverarbeiter vorab in Textform; der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem Grund widersprechen.
§ 6 Kontrollrechte
Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen, insbesondere durch Einholung von Auskünften und Nachweisen. Vor-Ort-Kontrollen sind mit angemessener Frist anzukündigen.
§ 7 Haftung
Es gelten die Haftungsregelungen des Art. 82 DSGVO. Im Übrigen gilt § 9 der AGB.
Anlage: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselte Übertragung aller Seiten und Formulare (HTTPS/TLS)
- Hosting in deutschen Rechenzentren mit Zutrittskontrolle (STRATO)
- Passwortgeschützte, getrennte Zugänge für Geschäftsführung und Mitarbeiter; Passwörter nur als Hash gespeichert
- Schutz vor Passwort-Ausprobieren (Sperre nach mehreren Fehlversuchen) und Spam-Schutz für Formulare
- Strikte Trennung der Daten verschiedener Kunden über feste Kundenzuordnung
- Regelmäßige Datensicherungen; Löschfunktionen für Reservierungen, Bewerbungen und Anfragen