Auftrags­verarbeitungs­vertrag (AVV)

1. Gegenstand & Rollenverteilung

Buqo verarbeitet im Rahmen der Bereitstellung der Plattform personenbezogene Daten der Gäste des Kunden (z. B. Besteller, Reservierende, Anrufer, Nachrichten-Kontakte, Stempelkarten-Inhaber) im Auftrag und nach Weisung des Kunden. Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, Buqo ist Auftragsverarbeiter (Art. 4 Nr. 8, Art. 28 DSGVO).

Nicht Gegenstand dieses Vertrags sind die eigenen Konto-, Vertrags- und Abrechnungsdaten des Kunden sowie das Buqo-Gastkonto: Für beides ist Buqo eigener Verantwortlicher (siehe Datenschutzerklärung und Datenschutzerklärung für das Gastkonto). Ein Gast meldet sich bei Buqo an; der Kunde erhält daraus nur die Daten, die zur Ausführung seiner Bestellung, seines Termins oder seiner Stempelkarte nötig sind.

2. Art, Umfang, Zweck & Dauer

Zweck der Verarbeitung ist die Erbringung der vertraglich vereinbarten Leistungen: Stempelkarte, Online-Bestellung (Bestellseite, App, Tisch-QR, Bestellkiosk), Reservierungen und Termine, KI-Telefonassistent, Nachrichtenversand (WhatsApp, SMS, E-Mail), Kassenfunktionen und Anbindungen an Liefer- und Kassensysteme. Art und Umfang ergeben sich aus dem Hauptvertrag und der tatsächlichen Nutzung. Die Verarbeitung erfolgt für die Dauer des Hauptvertrags; danach gelten die Regelungen in Ziffer 9.

3. Kategorien betroffener Personen & Datenarten

• Betroffene Personen: Gäste/Kunden des Verantwortlichen (Besteller, Reservierende, Anrufer, Nachrichten-Kontakte, Stempelkarten-Inhaber); Beschäftigte des Verantwortlichen (Team-Modul).
• Datenarten: Name, Telefonnummer, E-Mail-Adresse, Liefer-/Kontaktadresse, Bestell- und Reservierungsdaten, Gesprächs-/Nachrichteninhalte und -zusammenfassungen, Stempel- und Prämienereignisse, Zahlungs-Bezugsdaten (Betrag, Zahlart, Zahlungs-Kennung – keine vollständigen Zahlungsmittel-Daten), Kassenbelege; bei Beschäftigten die im Team-Modul erfassten Daten einschließlich Schicht- und Abwesenheitsdaten.

4. Weisungsbindung

Buqo verarbeitet die Daten ausschließlich im Rahmen des Hauptvertrags und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, eine gesetzliche Verpflichtung besteht. Weisungen erteilt der Verantwortliche über die Einstellungen der Plattform (z. B. Stempelkarten-Regeln, Benachrichtigungen, Löschung) oder in Textform. Ist Buqo der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, wird der Verantwortliche informiert.

5. Pflichten von Buqo

• Vertraulichkeit: Zur Verarbeitung befugte Personen werden zur Vertraulichkeit verpflichtet bzw. unterliegen einer angemessenen gesetzlichen Verschwiegenheit.
• Datensicherheit: Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe Ziffer 8).
• Unterstützung: Angemessene Unterstützung des Verantwortlichen bei Betroffenenanfragen (Art. 12–23) sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten (Art. 32–36).
• Meldung von Verletzungen: Unverzügliche Information des Verantwortlichen bei Verletzungen des Schutzes personenbezogener Daten.
• Nachweise/Kontrollen: Bereitstellung der erforderlichen Informationen zum Nachweis der Einhaltung und Ermöglichung von Überprüfungen (Audits) in zumutbarem Rahmen.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt Buqo die allgemeine Genehmigung, die zur Leistungserbringung erforderlichen Unterauftragsverarbeiter einzusetzen. Buqo verpflichtet diese auf ein gleichwertiges Datenschutzniveau. Über beabsichtigte Änderungen (Hinzufügung/Ersetzung) informiert Buqo vorab in Textform oder in der Anwendung; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Aktuell eingesetzte Unterauftragsverarbeiter (dieselbe Liste wie in Ziffer 15 der Datenschutzerklärung):

• Supabase Inc. (USA; Datenbank und Datei-Speicher in der EU/Frankfurt) — Datenbank, Konten, Bilder
• Vercel Inc. (USA; Hosting-Region Frankfurt) — Hosting von Website, Anwendung und Gast-Konto
• Render Services, Inc. (USA; Region Frankfurt) — Tonleitung zwischen Telefonie und Sprachassistent (Media Streams)
• OpenAI, L.L.C. (USA) — KI-Sprachassistent am Telefon (Sprache-zu-Sprache, Realtime) und Sprachausgabe der Hörprobe
• Anthropic, PBC (USA) — KI-Sprachverarbeitung (WhatsApp-Antworten, Texterkennung aus Speisekarten-Fotos und Belegen, Kontaktdaten aus Text)
• Twilio Inc. (USA) — Telefonnummern, Telefonie (SIP/Media Streams) und SMS-Versand
• Meta Platforms Ireland Ltd. — WhatsApp Business Platform; Facebook-Login-SDK nur auf der Verbindungsseite des Betriebs
• Stripe Payments Europe, Ltd. / Stripe, Inc. (Irland/USA) — Zahlungsabwicklung (Abrechnung der Pakete, Gast-Zahlungen über Stripe Connect, Kartenterminal)
• fiskaly GmbH (Deutschland) — TSE-Signatur, DSFinV-K-Export, revisionssichere Kassenarchivierung, Kassenmeldung
• Google LLC / Google Ireland Ltd. — Google Maps Platform (Adressvorschläge, Geocoding, Liefergebiet, statische Karte), Firebase Cloud Messaging (Push), Google-Anmeldung
• Apple Inc. (USA) — Push-Zustellung (APNs), Apple-Anmeldung, Apple Wallet
• Expo (650 Industries, Inc., USA) — Push-Zustellung an die native Buqo-App und Auslieferung von App-Updates
• Mapbox, Inc. (USA) — Karte und Wegzeiten in der Buqo-App (nur Gast-Modus)
• CARTO / OpenStreetMap Foundation (EU/UK) — Kartenkacheln als Rückfall, wenn keine Mapbox-Karte geladen werden kann
• HubRise SAS (Frankreich) — Anbindung von Lieferplattformen (Lieferando, Uber Eats, Wolt), nur wenn gebucht
• ready2order GmbH (Österreich) — Kassen-Anbindung, nur wenn verbunden
• Resend, Inc. (USA; Versandregion EU) — Versand von Transaktions-E-Mails (Codes, Bestätigungen, Rechnungen)
• Upstash, Inc. (USA) — Rate-Limiting / Missbrauchsschutz (IP-basierte Zähler)

Die jeweils aktuelle Liste steht unter buqo.io/avv und ist unter sk@buqo.io abrufbar.

7. Drittlandübermittlung

Erfolgt eine Verarbeitung durch Unterauftragsverarbeiter in einem Drittland, stellt Buqo geeignete Garantien nach Art. 44 ff. DSGVO sicher (insb. EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework). Wo ein Anbieter eine EU-Region anbietet, wird sie genutzt.

8. Technische & organisatorische Maßnahmen (TOM)

• Zugangs-/Zugriffskontrolle: rollenbasierte Rechte-Schalter je Mitarbeiter, Mandantentrennung auf Datenbankebene (Row Level Security), Zugriff auf Produktivdaten nur für befugte Personen; Freigaben mit PIN für Storno, Rückerstattung, Tagesabschluss und Prämien-Einlösung.
• Verschlüsselung: Transportverschlüsselung (TLS/HTTPS) sowie Verschlüsselung ruhender Daten beim Datenbank-/Hosting-Anbieter; Passwörter nur als Hash; Geheimnisse werden zeitkonstant verglichen.
• Pseudonymisierung/Minimierung: Anrufton wird nicht dauerhaft gespeichert; nur eine Zusammenfassung samt Rufnummer wird vorgehalten und nach spätestens 18 Monaten gelöscht/anonymisiert. Kontaktdaten aus App-Bestellungen werden dem Betrieb nicht angezeigt. Bilder werden vor dem Speichern verkleinert.
• Verfügbarkeit: gehostet in der EU (Frankfurt), Sicherungskopien beim Infrastruktur-Anbieter.
• Trennungskontrolle: strikte Trennung der Daten je Kunde/Standort; ein Betrieb sieht nur seine eigenen Gäste, Bestellungen und Stempelkarten.
• Missbrauchsschutz: Rate-Limiting, Zähler in der Datenbank für erratbare Werte (Codes, PIN) und Protokollierung sicherheitsrelevanter Aktionen (Audit-Log).

9. Löschung & Rückgabe

Nach Beendigung des Hauptvertrags werden die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht (z. B. handels-/steuerrechtlich, § 147 AO) entgegensteht. Buqo stellt hierfür einen angemessenen Export bereit (Bestellungen, Reservierungen, Kontakte, Kassendaten). Mit dem Löschen des Kontos werden Standorte, Bestellungen, Reservierungen, Stempelkarten, Rufnummern und TSE-Anmeldungen entfernt.

10. Haftung & Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und den Regelungen des Hauptvertrags. Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.