Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die waitrAI bei Erbringung der Leistungen nach dem Hauptvertrag (AGB und gebuchter Tarif) im Auftrag des Restaurants vornimmt. Gegenstand, Art, Zweck, Datenarten und Betroffene ergeben sich aus Anlage 1.

(2) Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag nur in Fragen des Datenschutzes vor. Im Übrigen gilt der Hauptvertrag.

(3) Die Anlagen 1 bis 3 sind Bestandteil dieses Vertrags.

Dieser Vertrag gilt, solange waitrAI personenbezogene Daten im Auftrag des Restaurants verarbeitet, mindestens für die Laufzeit des Hauptvertrags. Pflichten nach § 10 gelten über das Vertragsende hinaus.

(1) waitrAI verarbeitet die Daten nur auf dokumentierte Weisung des Restaurants, auch bei Übermittlungen in Drittländer. Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und den Einstellungen, die das Restaurant in der Plattform vornimmt; weitere Weisungen nach Absatz 2 bleiben möglich.

(2) Weitere Weisungen erteilt das Restaurant in Textform (z. B. E-Mail). Mündliche Weisungen bestätigt es unverzüglich in Textform. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, gelten als Antrag auf Leistungsänderung.

(3) Ist waitrAI der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist es das Restaurant unverzüglich darauf hin. waitrAI darf die Ausführung aussetzen, bis das Restaurant die Weisung bestätigt oder ändert. Beharrt das Restaurant auf einer offensichtlich rechtswidrigen Weisung, darf waitrAI den Vertrag hinsichtlich der betroffenen Verarbeitung kündigen.

(4) Ist waitrAI gesetzlich zu einer Verarbeitung verpflichtet, teilt es dies dem Restaurant vorher mit, sofern das Gesetz die Mitteilung nicht verbietet.

(5) Über technische und organisatorische Einzelheiten, die den Zweck und die wesentlichen Mittel der Verarbeitung nicht berühren, entscheidet waitrAI selbst.

(1) Das Restaurant ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information seiner Gäste nach Art. 13 DSGVO, für erforderliche Einwilligungen (etwa für Marketingnachrichten) und für die Wahrung der Rechte der Gäste.

(2) Das Restaurant prüft die von ihm hinterlegten Inhalte, insbesondere Preise, Allergene und Öffnungszeiten, die der Assistent den Gästen mitteilt.

(3) Das Restaurant informiert waitrAI unverzüglich, wenn es Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

waitrAI setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Personen erhalten Zugriff nur, soweit es für ihre Aufgabe nötig ist.

(1) waitrAI trifft die technischen und organisatorischen Maßnahmen nach Anlage 3.

(2) waitrAI darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert waitrAI und teilt sie dem Restaurant auf Anfrage mit.

(1) Das Restaurant erteilt waitrAI die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die in Anlage 2 genannten Unternehmen gelten mit Abschluss dieses Vertrags als genehmigt.

(2) waitrAI informiert das Restaurant mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters in Textform, mit Name, Anschrift, Leistung und Verarbeitungsort. Eine Veröffentlichung auf der Website allein genügt nicht.

(3) Das Restaurant kann der Änderung innerhalb von 14 Tagen nach Zugang widersprechen; eine Begründung ist nicht nötig. Vor Ablauf dieser Frist setzt waitrAI den neuen Unterauftragsverarbeiter nicht ein. Ohne Widerspruch gilt die Änderung als genehmigt. Einigen sich die Parteien nicht, kann jede Partei den Hauptvertrag zum Zeitpunkt des Wechsels kündigen; im Voraus gezahlte Entgelte für die Zeit danach erstattet waitrAI anteilig.

(4) Ist ein Wechsel zur Abwehr einer akuten Gefahr für die Sicherheit oder Verfügbarkeit nötig, darf waitrAI die Frist nach Absatz 2 verkürzen und informiert das Restaurant unverzüglich. Das Widerspruchsrecht bleibt bestehen; widerspricht das Restaurant, kann es den Hauptvertrag fristlos und ohne Kosten kündigen.

(5) waitrAI erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die den Anforderungen von Art. 28 Abs. 3 DSGVO entsprechen. Bei Anbietern, die nur einheitliche Standardbedingungen anbieten (insbesondere OpenAI), prüft waitrAI deren Bedingungen vor dem Einsatz und stellt sie dem Restaurant auf Anfrage zur Verfügung.

(6) Nicht als Unterauftragsverarbeitung gelten Leistungen, die waitrAI als Nebenleistung bei Dritten in Anspruch nimmt, etwa Telekommunikation, sowie Empfänger, die als eigene Verantwortliche handeln (Anlage 2).

(7) Die WhatsApp Business Plattform von Meta beauftragt das Restaurant selbst: Es legt sein WhatsApp-Business-Konto bei Meta an und gibt waitrAI Zugriff. Meta ist insoweit Auftragsverarbeiter des Restaurants nach den Bedingungen von Meta und kein Unterauftragsverarbeiter von waitrAI. waitrAI nutzt den Zugang nur im Rahmen dieses Vertrags.

(1) Eine Verarbeitung außerhalb der EU und des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Für die in Anlage 2 genannten Übermittlungen gilt die Genehmigung als erteilt.

(2) Grundlage sind vorrangig ein Angemessenheitsbeschluss, insbesondere das EU-US Data Privacy Framework, im Übrigen die Standardvertragsklauseln der EU-Kommission (Beschluss 2021/914, Modul 3). waitrAI darf auf eine andere zulässige Grundlage wechseln, wenn es das Restaurant vorher informiert.

(3) waitrAI dokumentiert die Prüfung der Übermittlungen (Transfer Impact Assessment) und stellt sie dem Restaurant auf Anfrage zur Verfügung.

(1) waitrAI unterstützt das Restaurant mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Wendet sich ein Gast direkt an waitrAI, leitet waitrAI die Anfrage unverzüglich an das Restaurant weiter und beantwortet sie nicht selbst.

(2) waitrAI unterstützt das Restaurant bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, unter Berücksichtigung der ihm vorliegenden Informationen.

(3) waitrAI meldet dem Restaurant eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 36 Stunden, nachdem es davon Kenntnis erlangt hat. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt. Fehlende Angaben reicht waitrAI nach, sobald sie vorliegen.

(4) Unterstützung, die über die Funktionen der Plattform hinausgeht und nicht auf einer Pflichtverletzung von waitrAI beruht, vergütet das Restaurant nach Aufwand mit 120 € netto je Stunde, höchstens 1.200 € netto je Kalenderjahr. Solange die Plattform keine Funktionen zum Export und zur Löschung von Gästedaten bietet, ist die Unterstützung dabei kostenfrei.

(1) Nach Ende des Hauptvertrags, gegebenenfalls nach der Übergangszeit nach § 18 der AGB, stellt waitrAI dem Restaurant die Daten 30 Tage lang zum Export in einem gängigen Format (CSV) bereit. Danach löscht waitrAI die Daten innerhalb weiterer 30 Tage, sofern das Restaurant nicht vorher die sofortige Löschung verlangt.

(2) Daten in Datensicherungen werden mit dem regulären Ablauf der Sicherungen gelöscht, spätestens nach 7 Tagen, und bis dahin nicht weiter genutzt.

(3) Ausgenommen sind Daten, die waitrAI aufgrund gesetzlicher Pflichten aufbewahren muss. Diese werden gesperrt und nach Ablauf der Frist gelöscht.

(4) waitrAI bestätigt die Löschung auf Anfrage in Textform.

(1) waitrAI stellt dem Restaurant die zum Nachweis der Pflichten nötigen Informationen zur Verfügung. Der Nachweis erfolgt vorrangig durch Unterlagen, eine Selbstauskunft, Zertifikate und Prüfberichte der Unterauftragsverarbeiter oder die Beantwortung eines Fragebogens.

(2) Hält das Restaurant diese Nachweise im Einzelfall nicht für ausreichend, kann es eine Prüfung durch sich oder einen zur Verschwiegenheit verpflichteten Prüfer verlangen. Die Prüfung ist mindestens 30 Tage vorher anzukündigen, findet zu Geschäftszeiten statt, darf den Betrieb nicht unangemessen stören und ist höchstens einmal pro Kalenderjahr zulässig, außer bei einem konkreten Anlass wie einer Datenschutzverletzung.

(3) Prüfer, die in einem Wettbewerbsverhältnis zu waitrAI stehen, kann waitrAI ablehnen. Prüfungen in Rechenzentren der Unterauftragsverarbeiter richten sich nach deren Bedingungen.

(4) Jede Partei trägt ihre eigenen Kosten. Den Aufwand von waitrAI für Prüfungen nach Absatz 2, der einen Arbeitstag pro Jahr übersteigt, vergütet das Restaurant nach § 9 Abs. 4, außer die Prüfung deckt einen erheblichen Verstoß von waitrAI auf.

(1) Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrags (§ 15 der AGB), auch für den Ausgleich nach Art. 82 Abs. 5 DSGVO. Bei leichter Fahrlässigkeit haftet waitrAI dem Restaurant für Datenschutzverletzungen insgesamt höchstens mit 25.000 € je Vertragsjahr.

(2) Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt. Im Innenverhältnis richtet sich der Ausgleich nach dem jeweiligen Verantwortungsanteil, begrenzt nach Absatz 1.

(1) waitrAI verarbeitet die Daten nur für das Restaurant und nicht für eigene Zwecke. Das Restaurant weist waitrAI an, daraus anonymisierte, zusammengefasste Statistiken über alle Restaurants hinweg zu erstellen, etwa zu Bearbeitungszeiten oder Fehlerhäufigkeiten, die keinen Rückschluss auf einzelne Gäste oder Restaurants zulassen. Sie dienen der Verbesserung der Plattform, die das Restaurant nutzt.

(2) waitrAI nutzt die Daten nicht zum Training von KI-Modellen und schließt dies auch bei seinen Unterauftragsverarbeitern vertraglich aus.

(3) Die Speicherdauer von Eingaben und Protokollen bei KI-Anbietern ergibt sich aus Anlage 2.

(1) Dieser Vertrag wird in elektronischer Form geschlossen, indem das Restaurant ihn bei der Einrichtung oder vor Beginn der Verarbeitung bestätigt. waitrAI speichert Fassung und Zeitpunkt der Bestätigung.

(2) Änderungen dieses Vertrags teilt waitrAI dem Restaurant direkt in Textform mit; sie werden mit der Bestätigung des Restaurants wirksam. Änderungen von Anlage 2 richten sich nach § 7.

(3) Es gilt das Recht, das der Hauptvertrag bestimmt (deutsches Recht, Gerichtsstand Hamburg), vorbehaltlich zwingender Vorschriften der DSGVO.

(4) Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

waitrAI verarbeitet im Auftrag des Restaurants die Daten seiner Gäste, die über WhatsApp bestellen, reservieren oder Nachrichten senden.

Gegenstand: Bereitstellung der Plattform waitrAI (WhatsApp-Bestell- und Reservierungsassistent mit Dashboard) gemäß Hauptvertrag.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Abgleichen, automatisierte Auswertung durch KI-Modelle, Übermitteln an Unterauftragsverarbeiter (Anlage 2), Einschränken und Löschen.

Kategorien betroffener Personen und Datenarten

Besondere Kategorien (Art. 9 DSGVO): waitrAI fragt keine Gesundheitsdaten ab. Gäste können jedoch in Freitexten oder Nachrichten Allergien oder Unverträglichkeiten nennen. Diese Angaben werden nur im Rahmen der Bestellung verarbeitet.

Nicht Gegenstand dieses Vertrags: Daten des Restaurants selbst und seiner Nutzerkonten (Registrierung, Vertrag, Abrechnung, Support). Diese verarbeitet waitrAI als eigener Verantwortlicher nach seiner Datenschutzerklärung.

Dauer und Löschung

Die Verarbeitung dauert so lange wie der Hauptvertrag. Heute gelten technisch folgende Fristen:

• Nachrichten und Zustellprotokolle im Chat-System: automatische Löschung nach 30 Tagen; in den übrigen Nachrichtentabellen noch keine automatische Löschung
• Standardfristen als Weisung des Restaurants, die es im Onboarding bestätigt und in den Einstellungen ändern kann: Chat-Nachrichten höchstens 90 Tage nach der letzten Nachricht; Kontaktdaten und Lieferadresse 3 Jahre nach der letzten Bestellung oder Reservierung; Reservierungen 12 Monate nach dem Termin; Bestellungen 8 Jahre als Beleg, Name und Telefonnummer darin nach 3 Jahren entfernt; Feedback-Kommentare 12 Monate; Nachweise zu Werbe-Einwilligungen 3 Jahre nach dem Abbestellen
• Nach Vertragsende: Löschung nach § 10 dieses Vertrags

Drei Dienste verarbeiten Gästedaten im Auftrag von waitrAI. Meta beauftragt das Restaurant selbst; zwei weitere Empfänger handeln als eigene Verantwortliche.

Unterauftragsverarbeiter

Vom Restaurant selbst beauftragt

waitrAI greift über die Schnittstelle von Meta im Namen des Restaurants auf das Konto zu (§ 7 Abs. 7).

Weitere Empfänger als eigene Verantwortliche

Diese Anbieter erhalten Daten, handeln aber nach eigenen Bedingungen als Verantwortliche. Sie sind daher keine Unterauftragsverarbeiter, werden dem Restaurant aber zur Information genannt.

Bewusst nicht aufgenommen

• Stripe (Abrechnung der Restaurant-Abos), Resend (E-Mail an das Restaurant): erhalten keine Gästedaten.
• Mistral AI: nicht angebunden.
• SMS-Versand an Gäste: technisch vorbereitet, aber noch kein Anbieter ausgewählt. Vor der Aktivierung wird der Anbieter hier ergänzt und das Restaurant nach § 7 informiert.

waitrAI betreibt keine eigenen Server; Daten liegen bei Supabase in Frankfurt auf AWS.

1. Vertraulichkeit

Zutrittskontrolle: Keine eigenen Serverräume. Die Rechenzentren betreibt AWS für Supabase; deren Zertifizierungen gelten (laut Supabase: SOC 2 Typ 2).

Zugangskontrolle:

• Anmeldung der Restaurant-Mitarbeitenden über Supabase Auth; Manager-Bereich zusätzlich mit PIN, gespeichert nur als gesalzener scrypt-Hash
• Administratoren von waitrAI: Passwörter als bcrypt-Hash (Kostenfaktor 12), verschlüsselte Sitzungscookies
• Arbeitsgeräte der waitrAI-Mitarbeitenden mit verschlüsselter Festplatte und Passwortmanager

Zugriffskontrolle:

• Zeilenbasierte Zugriffsregeln in der Datenbank (Row Level Security): Jedes Restaurant sieht nur seine eigenen Daten
• Rollen im Restaurant: Manager und Service; bei waitrAI getrennte Admin-Rollen (Technik, Support, Vertrieb, Marketing)
• Serverseitige Schlüssel nur in geschützten Umgebungsvariablen bzw. im Supabase Vault, Prüfung in konstanter Zeit
• Protokollierung der Admin-Zugriffe; Aufbewahrung der Zugriffsprotokolle 365 Tage

Trennungskontrolle: Mandantentrennung über die Restaurant-Zuordnung jedes Datensatzes und die Zugriffsregeln; Demodaten liegen in einem eigenen Demo-Mandanten.

Pseudonymisierung: Im Chat-System werden Gäste intern über einen Hash aus Restaurant und Telefonnummer geführt.

2. Integrität

Weitergabekontrolle:

• Verschlüsselte Übertragung (TLS) zwischen allen Beteiligten
• Eingehende Nachrichten von WhatsApp nur mit gültiger HMAC-SHA256-Signatur; Zahlungsbenachrichtigungen von PayPal nur nach Gegenprüfung bei PayPal
• Buchhaltungsexporte nur über zeitlich begrenzte Links (7 Tage)

Eingabekontrolle: Bestell-, Reservierungs- und Einwilligungsänderungen werden mit Zeitstempel gespeichert; Einwilligungen und Abmeldungen für Marketing in einem nicht änderbaren Protokoll mit dem jeweils angezeigten Text.

3. Verfügbarkeit und Belastbarkeit

• Datenspeicherung bei Supabase mit Verschlüsselung im Ruhezustand (AES-256, laut Supabase)
• Tägliche Datensicherung durch Supabase mit 7 Tagen Aufbewahrung (laut Supabase)
• Dauerhafte Warteschlangen für ein- und ausgehende Nachrichten, damit bei Störungen nichts verloren geht
• Der Ausfall eines KI-Anbieters führt nicht zu Datenverlust; Nachrichten bleiben erhalten und werden erneut verarbeitet

4. Verfahren zur regelmäßigen Überprüfung

• Automatische Löschung von Chat-Nachrichten im Chat-System und von Diagnoseereignissen nach 30 Tagen