Auftragsverarbeitungsvertrag (AVV)
Dieser Vertrag ist Bestandteil der Nutzungsbedingungen für Lokale. Er regelt, wie wir personenbezogene Daten von Gästen und Personal im Auftrag des Lokals verarbeiten, im Einklang mit dem Datenschutzgesetz von BiH und der EU-Datenschutz-Grundverordnung (DSGVO).
Gültig ab 01.11.2026
Übersetzung. Maßgeblich ist die bosnische Fassung. Bosnische Fassung anzeigen
1. Rollen
Das Lokal ist Verantwortlicher für die personenbezogenen Daten seiner Gäste und seines Personals, die in ServedSoul verarbeitet werden. SoulGrid Solutions, Sarajevo ist Auftragsverarbeiter und verarbeitet diese Daten nur im Auftrag und nach dokumentierten Weisungen des Lokals.
Weisungen des Lokals sind diese Bedingungen, die vom Lokal in ServedSoul gewählten Einstellungen und schriftliche Anfragen an info@soulgridsolutions.com.
2. Gegenstand, Dauer und Zweck
Gegenstand ist die Bereitstellung von ServedSoul (Bestellungen, Arbeit des Personals, Abrechnung, Statistik, Lager, Schichten, Hilfe bei der Lohnabrechnung). Die Verarbeitung dauert so lange wie der Nutzungsvertrag und 30 Tage nach dessen Ende (Datenexport).
3. Arten von Daten und betroffenen Personen
| Betroffene | Daten |
|---|---|
| Gäste | Bestellungen und Positionen, Tisch, Zeit, Notizen, Ergebnis der GPS-Prüfung beim Absenden, Rechnung und Zahlungsart; bei registrierten Gästen Name und E-Mail; Allergen- und Diabetesangaben nur mit ausdrücklicher Einwilligung des Gastes für dieses Lokal |
| Personal | Name, E-Mail, Rolle, PIN (nur als Hash), Schichten und Arbeitszeitaufzeichnungen, Leistung (zubereitete und servierte Positionen), vom Lokal eingegebene Lohndaten |
| Inhaber und Manager | Name, E-Mail, Telefon, Anmeldungen, Aktivitätsprotokoll |
Gesundheitsdaten (Allergene, Diabetes) sind eine besondere Kategorie von Daten. Sie werden dem Lokal nur mit ausdrücklicher, gesonderter und widerruflicher Einwilligung des Gastes übermittelt und sind nur für das Personal dieses Lokals bei der Bestellung sichtbar.
4. Pflichten des Auftragsverarbeiters
- wir verarbeiten Daten nur nach Weisung des Lokals, sofern das Gesetz nichts anderes verlangt (darüber informieren wir das Lokal, soweit zulässig);
- alle, die in unserem Namen Zugang zu Daten haben, sind zur Vertraulichkeit verpflichtet;
- wir treffen geeignete technische und organisatorische Maßnahmen (Abschnitt 5);
- wir unterstützen das Lokal bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch);
- über eine Verletzung des Schutzes personenbezogener Daten informieren wir das Lokal unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den für die Meldung an die Behörde nötigen Angaben;
- auf Anfrage stellen wir dem Lokal die Informationen zum Nachweis der Einhaltung zur Verfügung.
5. Sicherheitsmaßnahmen
- verschlüsselte Verbindung (HTTPS) für den gesamten Datenverkehr;
- Passwörter und PINs nur als Einweg-Hash; Geheimnisse der Anmeldung in zwei Schritten verschlüsselt; Wiederherstellungscodes nur als Hash;
- verpflichtende Anmeldung in zwei Schritten für Inhaber, Manager und den Plattform-Administrator;
- strikte Trennung der Daten je Lokal auf Anwendungsebene;
- rollenbasierte Zugriffsrechte und hierarchische Freigaben für sensible Aktionen (Storno, Rabatte, Lagerkorrekturen, Löhne);
- Protokoll aller Aktionen, die Geld, Lager, Preise, Löhne oder Zugriffe betreffen;
- Zugriff des Administrators nur über den Fernsupport, mit gültigem Zugang des Lokals, mit Benachrichtigung des Inhabers und vollständiger Aufzeichnung;
- regelmäßige Sicherungen und automatische Löschung nicht aufzubewahrender Daten (Live-Ereignisse nach 48 Stunden, Gastsitzungen nach 12 Stunden).
6. Unterauftragsverarbeiter
Zur Erbringung des Dienstes nutzen wir einen Webhosting-Anbieter (Verpex) und einen Anbieter für den E-Mail-Versand. Das Lokal ist mit deren Einsatz einverstanden.
Eine aktuelle Liste der Unterauftragsverarbeiter mit Verarbeitungsort senden wir auf Anfrage an info@soulgridsolutions.com. Über neue Unterauftragsverarbeiter informieren wir das Lokal mindestens 30 Tage im Voraus; das Lokal kann begründet widersprechen.
Werden Daten außerhalb von BiH und der EU/des EWR übermittelt, geschieht dies nur mit geeigneten Garantien (z. B. Standardvertragsklauseln).
7. Fernsupport
Der Plattform-Administrator greift auf Daten des Lokals nur über den Fernsupport zu, im vom Lokal gewählten Modus und nur soweit zur Lösung des Problems nötig. Jeder Zugriff und jede Änderung wird protokolliert und ist für den Inhaber sichtbar.
8. Ende der Verarbeitung
Nach Vertragsende kann das Lokal 30 Tage lang einen Export seiner Daten herunterladen. Danach löschen wir die Daten endgültig, sofern das Gesetz keine Aufbewahrung verlangt. Kopien verschwinden, wenn die Sicherungen aus der Rotation fallen.
9. Sonstiges
Für diesen Vertrag gelten die Bestimmungen über Haftung, anwendbares Recht und Gerichtsstand aus den Nutzungsbedingungen für Lokale. Maßgeblich ist die bosnische Fassung.