Zusatz zur Datenverarbeitung | Quandoo for Restaurants

zu den Quandoo for Restaurants Servicebedingungen ("Servicebedingungen") durch und zwischen dem Partner, wie in den Servicebedingungen dargelegt - "im Folgenden "Datenverantwortlicher" - und Quandoo Austria GmbH, Neubaugasse 21, Stiege 2, Tür 10, 1070 Wien - im Folgenden "Auftragsverarbeiterin" - jeweils eine "Partei", beide die "Parteien"

1. Umfang

Die Auftragsverarbeiterin ist ein Anbieter von Restaurantreservierungen und anderen damit zusammenhängenden Dienstleistungen, einschließlich reservierungsbezogener Kommunikation mit dem Gast sowie Zugang zu einer Datenbank zur Verwaltung von Restaurantreservierungen und Daten, die sich auf solche Reservierungen beziehen (die "Datenbank"; zusammen die "Dienstleistungen").

Die Auftragsverarbeiterin gehört zu 100 % der Quandoo GmbH, KulturBrauerei, Schönhauser Allee 36, 10435 Berlin, die als weitere, zusätzliche Auftragsverarbeiterin für alle wesentlichen Datenverarbeitungen auftritt. Für dieses Verhältnis zwischen dem Datenverarbeiter und der Quandoo GmbH wurden entsprechende Vereinbarungen über die gemeinsame Nutzung von Daten getroffen.

Der Datenverantwortliche ist Eigentümer eines Restaurants und hat mit Abschluss des Dienstleistungsvertrags die Dienstleistungen der Auftragsverarbeiterin abonniert. Im Zusammenhang mit der Erbringung der Dienstleistungen verarbeitet die Auftragsverarbeiterin im Auftrag des Datenverantwortlichen die von dem Datenverantwortlichen in die Datenbank eingegebenen personenbezogenen Daten.

Dieser Nachtrag zur Datenverarbeitung (der "Nachtrag") enthält die datenschutzrechtlichen Verpflichtungen der Parteien, die im Zusammenhang mit der Verarbeitung von Daten durch die Auftragsverarbeiterin im Auftrag des Datenverantwortlichen entstehen.

2. Beschreibung der Verarbeitung

Die Auftragsverarbeiterin verarbeitet die von dem Datenverantwortlichen erhaltenen personenbezogenen Daten wie folgt:

2.1 Gegenstand, Zweck und Art der Verarbeitung

Gegenstand und Zweck der Verarbeitung ist die Bereitstellung der Datenbank, um dem Datenverantwortlichen die Verwaltung von Reservierungsanfragen und die Speicherung von Daten über die Gäste in der Datenbank zu ermöglichen, sowie die Bereitstellung der Dienstleistungen. Die Auftragsverarbeiterin sendet im Namen des Datenverantwortlichen bestimmte Mitteilungen per E-Mail oder SMS an den Gast über den Status der jeweiligen Reservierung.

2.2 Dauer der Bearbeitung

Die Laufzeit dieses Addendums entspricht der Laufzeit der Servicebedingungen.

2.3 Art der Daten

Folgende Arten/Kategorien von Daten sind in den verarbeiteten Daten enthalten:

• Vor- und Nachname
• E-Mail-Adresse
• Rufnummer
• Angaben zur Reservierung
• Besondere Bemerkungen oder Wünsche, wie vom Data Controller eingegeben
• Name und E-Mail-Adresse der Mitarbeiter des Datenverwalters, falls diese zur Gewährung des Zugangs zur Datenbank hinzugefügt wurden.

2.4 Kategorien der betroffenen Personen

Die folgenden Personen sind von der Datenverarbeitung betroffen:

• Gäste
• Mitarbeiter des Datenverantwortlichen

3. Rechte und Pflichten des Datenverantwortlichen

3.1. Der Datenverantwortliche und die Auftragsverarbeiterin sind jeweils für die Einhaltung der geltenden Datenschutzgesetze in Bezug auf die zu verarbeitenden Daten verantwortlich und müssen diese einhalten. In Bezug auf den Datenverantwortlichen stimmt der Datenverantwortliche insbesondere zu, dass:

3.1.1. er die ausschließliche Kontrolle und Verantwortung dafür hat, zu bestimmen, welche personenbezogenen Daten die Auftragsverarbeiterin in Verbindung mit dem Dienstleistungsvertrag und diesem Nachtrag verarbeiten darf, und der Auftragsverarbeiterin klare schriftliche Anweisungen zu erteilen;

3.1.2 er ist dafür verantwortlich, dass die betroffenen Personen in Übereinstimmung mit allen geltenden Datenschutzgesetzen ausreichend über die Verarbeitung ihrer personenbezogenen Daten informiert wurden; und

3.1.3. er dafür verantwortlich ist, dass es eine rechtliche Grundlage für die Verarbeitung der personenbezogenen Daten der betroffenen Personen gibt, einschließlich der Einholung aller erforderlichen Einwilligungen, wenn diese erforderlich sind, in Übereinstimmung mit den Datenschutzgesetzen.

3.2. Der Datenverantwortliche informiert die Auftragsverarbeiterin unverzüglich, wenn er während des Gültigkeitszeitraums der Datenverarbeitung Fehler und/oder Unregelmäßigkeiten in Bezug auf die geltenden Datenschutzgesetze feststellt.

4. Verpflichtungen der Auftragsverarbeiterin

4.1. Die Auftragsverarbeiterin verarbeitet die Daten nur im Rahmen der Weisungen des Datenverantwortlichen, die vertraglich vereinbart wurden:

4.1.1 Die Verarbeitung durch die Auftragsverarbeiterin erfolgt nach den Weisungen des Datenverantwortlichen. Dieser Nachtrag und der Dienstleistungsvertrag enthalten grundsätzlich die Weisungen des Datenverantwortlichen. Der Datenverantwortliche behält sich jedoch das Recht vor, in zumutbarem Umfang zusätzliche Weisungen über Art, Umfang und Verfahren der Datenverarbeitung schriftlich zu erteilen. Ist die Auftragsverarbeiterin nicht in der Lage oder nicht willens, diese zusätzlichen Weisungen zu erfüllen, hat sie das Recht, diesen Nachtrag und den Dienstleistungsvertrag durch schriftliche Mitteilung an den Datenveranwortlichen zu kündigen.

4.1.2 Die Verarbeitung personenbezogener Daten durch die Auftragsverarbeiterin und die Unterauftragsverarbeiter erfolgt (i) auf dem Gebiet der Europäischen Union oder des EWR und (ii) auf dem Gebiet von Drittländern, die ein dem EU-Recht hinreichend vergleichbares Datenschutzniveau bieten, oder (iii) wenn die Verarbeitung personenbezogener Daten auf vertraglichen Garantien wie den EU-Standardvertragsklauseln oder verbindlichen unternehmensinternen Regelungen beruht. Eine anderweitige Übermittlung in ein Drittland bedarf der vorherigen Zustimmung und einer entsprechenden Weisung des Datenverantwortlichen sowie der Einhaltung der gesetzlichen Vorgaben zur Datenübermittlung in ein Drittland. Eine Ausnahme besteht, wenn die Auftragsverarbeiterin gesetzlich zur Datenübermittlung in das Drittland verpflichtet ist. In diesem Fall ist die Auftragsverarbeiterin verpflichtet, den Datenverantwortlichen vor Beginn der Verarbeitung über diese gesetzlichen Anforderungen zu informieren (vorausgesetzt, dass das entsprechende Gesetz eine solche Mitteilung nicht verbietet). Im Falle der Einschaltung eines Unterauftragsverarbeiters gelten diese Anforderungen zusätzlich zu den Bestimmungen in Abschnitt 8.

4.1.3. Die Auftragsverarbeiterin wird den Datenverantwortlichen schriftlich benachrichtigen (eine E-Mail an die im Dienstleistungsvertrag angegebene E-Mail-Adresse ist ausreichend), wenn sie der Meinung ist, dass eine von dem Datenverantwortlichen erteilte Anweisung gegen gesetzliche Bestimmungen verstößt. Die Auftragsverarbeiterin ist berechtigt, die Ausführung der betreffenden Anweisung solange auszusetzen, bis der Datenverantwortliche sie der Auftragsverarbeiterin schriftlich bestätigt oder geändert hat.

4.1.4. Die Auftragsverarbeiterin verarbeitet die Daten ausschließlich für die Zwecke des Dienstleistungsvertrags und im Rahmen der Anweisungen. Die Auftragsverarbeiterin darf die Daten nicht für eigene Zwecke verwenden oder an Dritte weitergeben, es sei denn, es besteht eine gesetzliche Verpflichtung dazu.

4.2. Die Auftragsverarbeiterin hat ihre internen Prozesse so zu gestalten, dass die Einhaltung der spezifischen Anforderungen des Datenschutzes im Verantwortungsbereich der Auftragsverarbeiterin und der Schutz der Rechte der betroffenen Personen gewährleistet sind. Die Auftragsverarbeiterin trifft die in § 5 genannten technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Daten vor Missbrauch und Verlust.

4.3. Die Auftragsverarbeiterin hat einen Datenschutzbeauftragten zu bestellen, soweit dies gesetzlich vorgeschrieben ist.

4.4. Die Auftragsverarbeiterin betraut nur solche Mitarbeiter mit der in diesem Nachtrag beschriebenen Datenverarbeitung, die zur Verschwiegenheit verpflichtet sind und zuvor mit den für ihre Tätigkeit relevanten Datenschutzbestimmungen vertraut gemacht worden sind.

4.5. Die Auftragsverarbeiterin informiert den Datenverantwortlichen unverzüglich über Datenschutzverstöße im Zusammenhang mit der Verarbeitung von Daten des Datenverantwortlichen gemäß diesem Nachtrag.

4.6. Die Auftragsverarbeiterin und der Datenverantwortliche werden mit allen Aufsichtsbehörden zusammenarbeiten, die für die in diesem Nachtrag genannten Angelegenheiten zuständig sind. Soweit der Datenverantwortliche einer Kontrolle durch eine Aufsichtsbehörde, einem Ordnungswidrigkeiten- oder Strafverfahren, einem Haftungsanspruch einer betroffenen Person oder eines Dritten oder einem sonstigen Anspruch im Zusammenhang mit der Datenverarbeitung durch die Auftragsverarbeiterin ausgesetzt ist, wird die Auftragsverarbeiterin den Datenverantwortlichen auf dessen Kosten jede angemessene Kooperation gewähren.

4.7. Innerhalb von 30 Tagen nach Ablauf dieses Nachtrags und/oder nach Aufforderung durch den Datenverantwortlichen löscht die Auftragsverarbeiterin alle personenbezogenen Daten, die im Rahmen dieses Nachtrags übermittelt wurden.

4.8. Die Auftragsverarbeiterin unterstützt den Datenverantwortlichen bei der Einhaltung der Verpflichtungen in Bezug auf die Sicherheit der Verarbeitung personenbezogener Daten, der Meldepflicht von Datenverstößen gegenüber der zuständigen Behörde oder den betroffenen Personen, der Datenschutz-Folgenabschätzung und der vorherigen Konsultation.

4.9. Für Unterstützungsleistungen, die nicht in der Leistungsbeschreibung enthalten sind, insbesondere Datenschutz-Folgenabschätzungen und Vorabkonsultationen, und die nicht auf Versäumnisse der Auftragsverarbeiterin zurückzuführen sind, kann die Auftragsverarbeiterin eine angemessene Vergütung verlangen.

5. Technisch-organisatorische Maßnahmen

5.1 Die Auftragsverarbeiterin beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung und führt alle vereinbarten Maßnahmen im Zusammenhang mit dem vertragsgemäßen Umgang mit personenbezogenen Daten des Datenverantwortlichen durch. Die Auftragsverarbeiterin trennt die verarbeiteten Daten von anderen Datenbeständen. Die Auftragsverarbeiterin ergreift die entsprechenden vertraglich vereinbarten und technisch-organisatorischen Maßnahmen, die gesetzlich vorgeschrieben sind, und stellt damit sicher, dass die Datenverarbeitung im Einklang mit den gesetzlichen Anforderungen und dem Schutz der Rechte der betroffenen Personen steht. Die Maßnahmen müssen insbesondere angemessene Datensicherheitskontrollen umfassen, um ein risikoadäquates Schutzniveau in Bezug auf Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit des Systems zu gewährleisten und müssen bewährte Verfahren, Implementierungskosten und die Art, den Umfang und den Zweck der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen berücksichtigen. Die in Anlage 1 beschriebenen technisch-organisatorischen Maßnahmen sind Bestandteil dieses Addendums und werden verbindlich vereinbart.

5.2 Die technisch-organisatorischen Maßnahmen können von der Auftragsverarbeiterin im Laufe des Vertragsverhältnisses in Abhängigkeit von der technischen und organisatorischen Entwicklung angepasst werden. Die Auftragsverarbeiterin kann hierzu alternative geeignete Maßnahmen einsetzen. Dabei muss das Sicherheitsniveau der alternativen Maßnahmen mindestens so hoch sein wie das der festgelegten Maßnahmen.

6. Recht auf Einsichtnahme durch den Datenverantwortlichen

6.1. Der Datenverantwortliche ist berechtigt, sich mit einer Vorankündigung von mindestens 30 Arbeitstagen und höchstens einmal pro Vertragsjahr in den Geschäftsräumen der Auftragsverarbeiterin während der üblichen Geschäftszeiten und ohne Störung des Geschäftsbetriebes von der Angemessenheit der von der Auftragsverarbeiterin getroffenen technischen und organisatorischen Maßnahmen zu überzeugen, sofern zuvor eine Vertraulichkeitsvereinbarung abgeschlossen wurde. Der Datenverantwortliche hat der Auftragsverarbeiterin den Zeitaufwand für die Prüfung vor Ort zu erstatten. Vor Beginn einer solchen Vor-Ort-Prüfung vereinbaren der Datenverantwortliche und die Auftragsverarbeiterin einvernehmlich den Umfang, den Zeitpunkt und die Dauer einer solchen Prüfung sowie den von dem Datenverantwortlichen zu tragenden Erstattungssatz.

6.2 Der Datenverantwortliche erklärt sich damit einverstanden, dass die Auftragsverarbeiterin abweichend von Abschnitt 6.1 Kopien von Zertifizierungen oder Berichten zur Einsichtnahme durch den Datenverantwortlichen zur Verfügung stellt, die die Einhaltung der geltenden Datensicherheitsstandards durch die Auftragsverarbeiterin bei der Verarbeitung der personenbezogenen Daten des Datenverantwortlichen belegen.

7. Rechte der betroffenen Personen

7.1 Der Datenverantwortliche ist ausschließlich für die Erfüllung der gesetzlichen Rechte der betroffenen Personen verantwortlich, einschließlich, aber nicht beschränkt auf Auskunft, Offenlegung, Löschung oder Markierung/Sperrung und Übertragung ihrer personenbezogenen Daten. Die Auftragsverarbeiterin ist nicht berechtigt, über die von den betroffenen Personen an ihn gerichteten Anfragen zu entscheiden oder diese zu erfüllen, es sei denn, der Datenverantwortliche hat dies verlangt.

7.2 Wendet sich ein Betroffener direkt an die Auftragsverarbeiterin, so leitet diese die Anfrage unverzüglich an den Datenverantwortlichen weiter. Ist der Datenverantwortliche aufgrund datenschutzrechtlicher Bestimmungen verpflichtet, einer betroffenen Person Auskunft über die Erhebung, Verarbeitung oder Nutzung der personenbezogenen Daten zu erteilen, unterstützt die Auftragsverarbeiterin den Datenverantwortlichen bei der Erteilung dieser Auskunft, sofern der Datenverantwortliche die Auftragsverarbeiterin schriftlich dazu aufgefordert hat und erstattet der Auftragsverarbeiterin die anfallenden Kosten.

8. Unterauftragsverarbeiter

8.1. Der Datenverantwortliche nimmt zur Kenntnis und erklärt sich damit einverstanden, dass die Auftragsverarbeiterin im Zusammenhang mit der Erbringung der Dienstleistungen Unterauftragsverarbeiter einsetzen kann.

8.2. Als Bedingung für die Zulassung von Unterauftragsverarbeitern schließt die Auftragsverarbeiterin mit jedem Unterauftragsverarbeiter einen schriftlichen Vertrag ab, der Datenschutzverpflichtungen enthält, die mindestens das gleiche Schutzniveau bieten wie die in diesem Nachtrag genannten.

8.3. Eine aktuelle Liste der Unterauftragsverarbeiter ist über Unterauftragsverarbeiter zugänglich. Der Datenverantwortliche genehmigt ausdrücklich die Beauftragung der Unterauftragsverarbeiter, die auf der oben genannten Homepage aufgeführt sind. Die Auftragsverarbeiterin kann diese Liste von Zeit zu Zeit aktualisieren. Die Auftragsverarbeiterin ist verpflichtet, die Liste ständig zu überprüfen. Die Zustimmung zur Beauftragung eines neuen Unterauftragsverarbeiters gilt als erteilt, wenn der Datenverantwortliche der Beauftragung eines neuen Unterauftragsverarbeiters bis spätestens zwei Wochen vor dem auf der oben genannten Homepage angegebenen Starttermin nicht per E-Mail an dataprotection@quandoo.com widerspricht.

8.4. Der Datenverantwortliche hat das Recht, der Beauftragung eines neuen Unterauftragsverarbeiters nur aus wichtigen Gründen zu widersprechen und wird diese Gründe in der oben genannten Mitteilung an die Auftragsverarbeiterin angeben. Die Auftragsverarbeiterin hat in diesem Fall das Recht, sowohl diesen Nachtrag als auch den Dienstleistungsvertrag zu kündigen.

8.5. Die Auftragsverarbeiterin haftet für die Handlungen und Unterlassungen ihrer Unterauftragsverarbeiter in demselben Umfang, in dem die Auftragsverarbeiterin haften würde, wenn sie die Dienstleistungen jedes Unterauftragsverarbeiters direkt gemäß den Bedingungen dieses Nachtrags ausführen würde.

9. Haftung

9.1 Die Auftragsverarbeiterin haftet gegenüber dem Datenverantwortlichen gemäß den gesetzlichen Regelungen für sämtliche Schäden durch schuldhafte Verstöße gegen diese Vereinbarung sowie gegen die sie treffenden gesetzlichen Datenschutzbestimmungen, die die Auftragsverarbeiterin, ihre Mitarbeiter bzw. die von ihr mit der Vertragsdurchführung Beauftragten bei der Erbringung der vertraglichen Leistung verursachen. Eine Ersatzpflicht der Auftragsverarbeiterin besteht nicht, sofern sie nachweist, dass sie die ihr überlassenen Daten des Datenverantwortlichen ausschließlich nach den Weisungen des Datenverantwortlichen verarbeitet und ihren speziell der Auftragsverarbeiterin auferlegten Pflichten aus der DSGVO nachgekommen ist.

9.2 Der Datenverantwortliche stellt die Auftragsverarbeiterin von allen Ansprüchen Dritter frei, die aufgrund einer schuldhaften Verletzung der Verpflichtungen aus dieser Vereinbarung oder geltenden datenschutzrechtlichen Vorschriften durch den Auftraggeber gegen die Auftragsverarbeiterin geltend gemacht werden.

9.3 Die Haftung des Datenverantwortlichen gegenüber der Auftragsverarbeiterin erstreckt sich auf gegen die Auftragsverarbeiterin verhängte Geldbußen, soweit diese auf die Verletzung einer datenschutzrechtlichen Pflicht zurückzuführen sind, deren Einhaltung des Datenverantwortlichen aufgrund gesetzlicher Vorgaben oder dieser Vereinbarung obliegt. Wird in Folge einer solchen Pflichtverletzung der Datenverantwortlichen ein Bußgeldbescheid gegen die Auftragsverarbeiterin rechtskräftig, stellt der Datenverantwortliche die Auftragsverarbeiterin vom verhängten Bußgeld frei, wobei sich die Höhe dieses Freistellungsanspruch nach der Haftungsquote im Einzelfall bemisst. Der Datenverantwortliche hat die Geldbuße in der Höhe ihres Anteils an der Verantwortung für den durch die Geldbuße sanktionierten Verstoß zu übernehmen. Der Datenverantwortliche trägt die Beweislast für den Umstand, dass der sanktionierte Verstoß nicht auf ihrer Pflichtverletzung beruht und sie diese nicht zu vertreten hat.

9.4 Voraussetzung für die zuvor genannte Haftung des Datenverantwortlichen nach Abs. 3 ist in jedem Fall, dass die Auftragsverarbeiterin den Datenverantwortlichen unverzüglich schriftlich von einem solchen Fall verständigt, die behauptete Verletzung nicht anerkennt und jegliche gerichtliche oder außergerichtliche Auseinandersetzung, einschließlich etwaiger außergerichtlicher Regelungen, nur im Einvernehmen mit dem Auftraggeber führt. Der Datenverantwortliche kann insbesondere verlangen, dass die Auftragsverarbeiterin etwaige Bußgeldbescheide gerichtlich durch alle zur Verfügung stehenden Instanzen überprüfen lässt, wobei der Datenverantwortliche in einem solchen Fall verpflichtet ist, die Auftragsverarbeiterin von den entstehenden Prozesskosten in Höhe der gesetzlichen Gebühren freizustellen.

10. Sonstiges

10.1. Falls die Daten der Auftragsverarbeiterin durch Zwangsvollstreckung, Beschlagnahme, Insolvenzverfahren oder andere ähnliche Ereignisse gefährdet sind, hat die Auftragsverarbeiterin den Datenverantwortlichen unverzüglich zu benachrichtigen.

10.2. Änderungen und Ergänzungen dieses Nachtrags bedürfen der Schriftform und der Unterzeichnung durch beide Parteien.

10.3. Sollte eine Bestimmung dieses Nachtrags unwirksam oder undurchführbar sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen davon unberührt. Die unwirksame oder undurchführbare Bestimmung ist durch eine Bestimmung zu ersetzen, die ihrem Sinn und Zweck am nächsten kommt.

10.4. Im Falle eines Widerspruchs zwischen dem Servicevertrag und diesem Nachtrag hat dieser Nachtrag Vorrang.

10.5. Dieser Nachtrag unterliegt deutschem Recht und ist nach diesem auszulegen. Ausschließlicher Gerichtsstand ist Berlin.

Anhang 1 zum Addendum: Technische und organisatorische Maßnahmen

Beschreibung der von der Auftragsverarbeiterin getroffenen technischen und organisatorischen Sicherheitsmaßnahmen:

1. Eingabe-Steuerung

Maßnahmen, die verhindern, dass Unbefugte Zugang zu Datenverarbeitungssystemen erhalten, die personenbezogene Daten verarbeiten oder nutzen

☒ Erstellen von Benutzerprofilen
☐ Authentifizierung mit biometrischen Verfahren
☒ Zuweisung von Benutzerprofilen zu IT-Systemen
☒ Einsatz von VPN-Technologie
☒ Sicherheitsschleusen
☒ Personenkontrolle durch Pförtner/an den Eingängen
☐ Sorgfältige Auswahl des Reinigungspersonals
☐ Pflicht zum Tragen von Berechtigungsscheinen
☒ Verschlüsselung der mobilen Datenträger
☐ Einsatz von zentraler Smartphone-Verwaltungssoftware (z. B. zur externen Löschung von Daten)
☒ Verschlüsselung von Datenträgern in Laptops/Notebooks
☒ Einsatz einer Software-Firewall