Version 1.1 – Stand: 28. Juli 2026
Dieser Auftragsverarbeitungsvertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien im Zusammenhang mit der Nutzung von HalloTisch. Er gilt, soweit HalloTisch personenbezogene Daten im Auftrag des Kunden verarbeitet. Er bildet gemeinsam mit seinen Anlagen einen Bestandteil des zwischen den Parteien geschlossenen Hauptvertrags.
(1) Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist der im Bestellprozess bezeichnete Kunde, nachfolgend „Verantwortlicher“. (2) Auftragsverarbeiter ist: Leon Kopf, handelnd unter „HalloTisch“ Lohstraße 6 94469 Deggendorf E-Mail: info@hallotisch.com nachfolgend „Auftragsverarbeiter“. (3) Der Auftragsverarbeitungsvertrag wird elektronisch abgeschlossen. Er tritt mit Abschluss des Hauptvertrags beziehungsweise mit Beginn der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter in Kraft.
(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Zusammenhang mit der Bereitstellung von HalloTisch. (2) Der Hauptvertrag einschließlich der AGB regelt die wirtschaftlichen und funktionalen Leistungen. Dieser Auftragsverarbeitungsvertrag regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien. (3) Bei Widersprüchen in datenschutzrechtlichen Fragen geht dieser Auftragsverarbeitungsvertrag dem Hauptvertrag und den AGB vor. (4) Die Einzelheiten zu Gegenstand, Art, Zweck und Dauer der Verarbeitung, den Datenarten und den Kategorien betroffener Personen ergeben sich aus Anlage 1. (5) Die technischen und organisatorischen Maßnahmen ergeben sich aus Anlage 2. (6) Die genehmigten Unterauftragsverarbeiter ergeben sich aus Anlage 3.
(1) Der Verantwortliche entscheidet über Zwecke und wesentliche Mittel der Verarbeitung personenbezogener Daten. Er ist insbesondere verantwortlich für die Rechtmäßigkeit der Verarbeitung, geeignete Rechtsgrundlagen, Informationspflichten, die Bearbeitung von Betroffenenrechten und die Zulässigkeit der von ihm verarbeiteten Inhalte. (2) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, zur Durchführung dieses Vertrags oder aufgrund einer rechtlichen Verpflichtung. (3) Ist der Auftragsverarbeiter aufgrund des Rechts der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung ohne Weisung verpflichtet, informiert er den Verantwortlichen vor der Verarbeitung über diese Verpflichtung, soweit das betreffende Recht eine solche Information nicht aus Gründen eines wichtigen öffentlichen Interesses verbietet. (4) Dokumentierte Weisungen ergeben sich insbesondere aus diesem Vertrag, dem Hauptvertrag, den Einstellungen und der Nutzung der Funktionen im Kundenbereich sowie aus Weisungen per E-Mail an info@hallotisch.com. (5) Weisungen müssen rechtmäßig, hinreichend bestimmt und technisch umsetzbar sein. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Verantwortlichen und darf die Durchführung bis zur Klärung aussetzen. (6) Weisungen, die den vereinbarten Leistungsumfang wesentlich überschreiten, können einer gesonderten Vereinbarung und Vergütung bedürfen. Gesetzlich zwingend geschuldete Unterstützung bleibt unberührt.
(1) Die planmäßige Verarbeitung besonderer Kategorien personenbezogener Daten gemäß Art. 9 DSGVO ist nicht Gegenstand der Leistungen. (2) Der Verantwortliche darf Gäste oder Mitarbeiter nicht zur Eingabe von Gesundheitsdaten oder sonstigen besonderen Kategorien personenbezogener Daten auffordern, sofern dies nicht ausdrücklich vereinbart, technisch vorgesehen und datenschutzrechtlich zulässig ist. (3) Soweit ein Hinweis im Reservierungsformular vorgesehen ist, weist dieser darauf hin, dass keine Gesundheitsdaten oder sonstigen besonders sensiblen Angaben in das Freitextfeld eingetragen werden sollen. (4) Eine allgemeine Pflicht des Auftragsverarbeiters zur inhaltlichen Kontrolle von Freitexten besteht nicht. Der Verantwortliche bleibt für Rechtsgrundlage, Informationspflichten und erforderliche Schutzmaßnahmen verantwortlich.
Der Auftragsverarbeiter verpflichtet sich insbesondere: 1. personenbezogene Daten nur auf dokumentierte Weisung zu verarbeiten, 2. die Grundsätze der Datenminimierung, Zweckbindung und Speicherbegrenzung zu beachten, 3. nur Personen Zugriff zu gewähren, die diesen für ihre Aufgaben benötigen, 4. alle zugriffsberechtigten Personen zur Vertraulichkeit zu verpflichten, 5. angemessene technische und organisatorische Maßnahmen aufrechtzuerhalten, 6. den Verantwortlichen bei Betroffenenanfragen zu unterstützen, 7. den Verantwortlichen bei seinen Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen, 8. Datenschutzverletzungen unverzüglich mitzuteilen, 9. die Anforderungen an Unterauftragsverarbeiter einzuhalten, 10. die Einhaltung dieses Vertrags nachweisbar zu dokumentieren, 11. Daten nach Vertragsende nach Maßgabe dieses Vertrags zurückzugeben, bereitzustellen oder zu löschen.
(1) Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. (2) Zugriffsrechte werden nach Aufgabenbezug und dem Grundsatz der geringstmöglichen Berechtigung vergeben und bei Anlass angepasst oder entzogen. (3) Personen, die personenbezogene Daten verarbeiten, werden entsprechend ihrer Aufgaben über Datenschutz- und Sicherheitsanforderungen unterrichtet.
(1) Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung sowie der Risiken angemessene technische und organisatorische Maßnahmen. (2) Die vereinbarten Maßnahmen ergeben sich aus Anlage 2. (3) Der Auftragsverarbeiter darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das vereinbarte Sicherheitsniveau nicht unterschritten wird. (4) Wesentliche Änderungen der technischen und organisatorischen Maßnahmen werden dokumentiert. (5) Der Verantwortliche ist für die Sicherheit seiner eigenen Geräte, Internetverbindungen, E-Mail-Konten, Zugangsdaten und internen Benutzerverwaltung verantwortlich.
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und soweit möglich durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Anträgen nach Art. 15 bis 22 DSGVO. (2) Richtet eine betroffene Person eine Anfrage unmittelbar an den Auftragsverarbeiter, beantwortet dieser sie grundsätzlich nicht eigenständig inhaltlich, sondern leitet sie ohne unangemessene Verzögerung an den identifizierbaren Verantwortlichen weiter oder verweist die betroffene Person an ihn. (3) Der Verantwortliche stellt die für die Bearbeitung erforderlichen Informationen und Weisungen bereit. (4) Unterstützung im üblichen Funktionsumfang ist mit der Grundvergütung abgegolten. Außergewöhnlich aufwendige Leistungen, die nicht durch einen vom Auftragsverarbeiter zu vertretenden Verstoß verursacht wurden, können nach vorheriger Vereinbarung gesondert vergütet werden.
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Sicherheit der Verarbeitung, der Behandlung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. (2) Die Entscheidung, ob und in welchem Umfang eine Datenschutz-Folgenabschätzung oder Konsultation erforderlich ist, obliegt dem Verantwortlichen.
(1) Der Verantwortliche erteilt eine allgemeine Genehmigung für die in Anlage 3 aufgeführten Unterauftragsverarbeiter. (2) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den für die jeweilige Verarbeitung anwendbaren Pflichten dieses Vertrags entsprechen, und bleibt gegenüber dem Verantwortlichen für deren datenschutzrechtliche Pflichterfüllung verantwortlich. (3) Vor dem Einsatz eines neuen oder dem Ersatz eines bestehenden Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen mit angemessener Vorlaufzeit in Textform. Die Mitteilung nennt eine angemessene Frist für einen Widerspruch aus konkret begründeten datenschutzrechtlichen Gründen. (4) Die Parteien bemühen sich bei einem begründeten Widerspruch um eine angemessene Lösung. Ist dies nicht möglich, kann der Auftragsverarbeiter auf den Unterauftragsverarbeiter verzichten, eine zumutbare Alternative anbieten, die betroffene Funktion einstellen oder den Hauptvertrag hinsichtlich der betroffenen Leistung beenden. (5) Bei einem dringenden Wechsel aufgrund eines Sicherheitsvorfalls, einer behördlichen Anordnung oder eines kurzfristigen Ausfalls darf die vorherige Information verkürzt oder nachgeholt werden, soweit eine vorherige Information nicht möglich oder nicht zumutbar ist.
(1) Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. (2) Der Auftragsverarbeiter stützt Drittlandübermittlungen insbesondere auf: 1. einen Angemessenheitsbeschluss der Europäischen Kommission, 2. eine gültige Zertifizierung unter einem anerkannten Datenschutzrahmen, 3. die Standardvertragsklauseln der Europäischen Kommission oder 4. einen anderen gesetzlich anerkannten Übermittlungsmechanismus. (3) Soweit Standardvertragsklauseln verwendet werden, prüft der Auftragsverarbeiter im erforderlichen Umfang, ob ergänzende technische, vertragliche oder organisatorische Maßnahmen notwendig sind. (4) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage angemessene Informationen zu den eingesetzten Übermittlungsmechanismen zur Verfügung.
(1) Der Auftragsverarbeiter informiert den Verantwortlichen ohne unangemessene Verzögerung, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die im Auftrag verarbeitete Daten betrifft. (2) Die Mitteilung enthält die dem Auftragsverarbeiter verfügbaren Informationen, die der Verantwortliche für die Erfüllung seiner gesetzlichen Pflichten benötigt. Noch nicht verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht. (3) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Untersuchung, Risikobewertung, Dokumentation und erforderlichen Meldungen. (4) Meldungen an Aufsichtsbehörden oder betroffene Personen obliegen dem Verantwortlichen, soweit der Auftragsverarbeiter nicht selbst gesetzlich verpflichtet ist.
(1) Der Auftragsverarbeiter stellt die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung von Art. 28 DSGVO und dieses Vertrags nachzuweisen, und ermöglicht gesetzlich erforderliche Kontrollen. (2) Nachweise sollen vorrangig durch vorhandene Dokumentationen, Sicherheitsinformationen, Fragebögen, Zertifikate oder Remote-Prüfungen erbracht werden. (3) Vor-Ort-Prüfungen sind zulässig, soweit andere Nachweise nicht ausreichen, konkrete Anhaltspunkte für einen erheblichen Verstoß bestehen oder eine Aufsichtsbehörde dies verlangt. Sie sind mit angemessener Vorlaufzeit anzukündigen, sofern keine Dringlichkeit entgegensteht, und so durchzuführen, dass Betrieb und Vertraulichkeit anderer Kunden nicht unangemessen beeinträchtigt werden. (4) Ohne besonderen Anlass ist grundsätzlich höchstens eine kundenseitige Prüfung pro Kalenderjahr vorgesehen. Der Verantwortliche trägt die angemessenen Kosten einer von ihm veranlassten Prüfung, soweit die Prüfung keinen wesentlichen, vom Auftragsverarbeiter zu vertretenden Verstoß bestätigt. (5) Befugnisse der Datenschutzaufsichtsbehörden bleiben unberührt.
(1) Als technische Standardfristen werden bestätigte Reservierungen grundsätzlich 24 Monate und stornierte Reservierungen grundsätzlich 12 Monate nach dem jeweiligen Reservierungstermin gespeichert und anschließend automatisiert aus den aktiven Systemen gelöscht. (2) Der Verantwortliche kann den Auftragsverarbeiter in Textform zur früheren Löschung bestimmter Daten anweisen, soweit keine gesetzlichen Pflichten entgegenstehen. Die Löschung aus den aktiven Systemen erfolgt ohne unangemessene Verzögerung; für Sicherungskopien gilt Absatz 6. Eine Self-Service-Funktion für jede einzelne Löschung ist nicht geschuldet. (3) Eine längere Speicherung erfolgt nur aufgrund dokumentierter Weisung oder gesetzlicher Verpflichtung. (4) Eine Anonymisierung anstelle einer Löschung erfolgt nur auf Weisung, soweit sie technisch vorgesehen ist und eine Reidentifizierung mit vernünftigerweise einsetzbaren Mitteln ausgeschlossen ist. (5) Nach Beendigung des Hauptvertrags werden Daten nach Maßgabe der AGB für Export und Abruf bereitgestellt und danach aus den aktiven Systemen gelöscht, soweit keine gesetzlichen Pflichten entgegenstehen. (6) In Sicherungskopien enthaltene Daten werden entsprechend den technisch vorgesehenen Sicherungs- und Überschreibungszyklen der eingesetzten Infrastruktur gelöscht oder überschrieben. Bis dahin werden sie nicht für den laufenden Geschäftsbetrieb verwendet und nur verarbeitet, soweit dies für Sicherung, Wiederherstellung, Sicherheit oder gesetzliche Nachweise erforderlich ist. (7) Der Auftragsverarbeiter bestätigt die vertragsgemäße Löschung auf begründete Anfrage in Textform.
(1) Dieser Auftragsverarbeitungsvertrag gilt für die Dauer des Hauptvertrags und solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. (2) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. (3) Der Verantwortliche kann diesen Vertrag nicht isoliert kündigen, solange die Nutzung von HalloTisch notwendigerweise eine Auftragsverarbeitung voraussetzt. (4) Endet dieser Auftragsverarbeitungsvertrag, ohne dass eine rechtmäßige Grundlage für die weitere Auftragsverarbeitung besteht, darf der Auftragsverarbeiter die betreffenden Funktionen aussetzen.
(1) Für die Haftung gegenüber betroffenen Personen gelten insbesondere Art. 82 DSGVO und die sonstigen gesetzlichen Vorschriften. (2) Die interne Haftungsverteilung zwischen den Parteien richtet sich ergänzend nach dem Hauptvertrag und den AGB. (3) Haftungsregelungen zwischen den Parteien beschränken nicht die gesetzlichen Rechte betroffener Personen oder die Befugnisse von Aufsichtsbehörden.
(1) Änderungen und Ergänzungen dieses Vertrags erfolgen mindestens in Textform, soweit gesetzlich keine strengere Form vorgeschrieben ist. (2) Individuelle Vereinbarungen haben Vorrang. (3) Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Regelungen. (4) Es gilt deutsches Recht.
1. Gegenstand Bereitstellung und Betrieb einer Restaurant-Website, eines Online-Reservierungssystems, eines digitalen Reservierungsbuchs und eines Kundenbereichs. 2. Dauer Dauer des Hauptvertrags einschließlich des vereinbarten Export- und Löschzeitraums. 3. Art der Verarbeitung Insbesondere: * Erheben, * Erfassen, * Strukturieren, * Speichern, * Anzeigen, * Übermitteln, * Ändern, * Abrufen, * Exportieren, * Einschränken, * Löschen. 4. Zwecke * Entgegennahme und Bestätigung von Reservierungen, * Verwaltung des Reservierungsbuchs, * Kapazitäts- und Tischverwaltung, * Versand von Reservierungs- und System-E-Mails, * Betrieb des Kundenbereichs, * Hosting und technische Sicherung, * Bearbeitung von Supportfällen, * Erfüllung von Export-, Lösch- und Betroffenenanfragen. 5. Kategorien betroffener Personen * Restaurantgäste und Reservierende, * Ansprechpartner des Verantwortlichen, * Mitarbeiter und Benutzer des Verantwortlichen, * gegebenenfalls sonstige Personen, deren Daten zulässigerweise in Kundeninhalten enthalten sind. 6. Datenkategorien Reservierende und Gäste * Name, * E-Mail-Adresse, sofern angegeben, * Telefonnummer, sofern angegeben, * Personenzahl, * Reservierungsdatum, * Reservierungszeit, * Reservierungsstatus, * freiwillige Anmerkungen, * technische Zuordnungsdaten. Restaurantmitarbeiter und Benutzer * Name, * geschäftliche Kontaktdaten, * Benutzerkennung, * Rollen und Berechtigungen, * Authentifizierungs- und Sicherheitsdaten, * Protokolldaten. Technische Daten * IP-Adresse, * Zeitstempel, * Browser- und Geräteinformationen, * Sicherheits- und Zugriffsprotokolle, * Fehler- und Systemdaten. 7. Besondere Kategorien Keine planmäßige Verarbeitung. Unbeabsichtigte Angaben im Freitextfeld sind möglich und nach Maßgabe des Vertrags zu behandeln.
Die folgenden Maßnahmen beschreiben den aktuellen technischen und organisatorischen Rahmen. Sie begründen keine darüber hinausgehende Verfügbarkeits-, Wiederherstellungs- oder Sicherheitsgarantie. Maßnahmen dürfen weiterentwickelt oder ersetzt werden, wenn das risikoadäquate Schutzniveau nicht wesentlich unterschritten wird. 1. Physischer Schutz - Nutzung professioneller Cloud- und Rechenzentrumsanbieter, - physische Zutritts- und Umweltschutzmaßnahmen durch die jeweiligen Infrastrukturbetreiber. 2. Zugangskontrolle - individuelle Benutzerkonten und passwortgeschützte Zugänge, - technische Unterstützung für TOTP-basierte Mehrfaktor-Authentifizierung; eine Erzwingung erfolgt, soweit sie für den jeweiligen administrativen Zugang aktiviert ist, - Rate-Limiting und Schutz öffentlicher Anmelde- und Anfrageendpunkte, - Sperr- und Wiederherstellungsverfahren für Konten. 3. Zugriffskontrolle und Mandantentrennung - rollen- und mandantenbezogene Berechtigungen, - Datenbankrichtlinien und technische Berechtigungsprüfungen bei geschützten Zugriffen, - Beschränkung administrativer Zugriffe auf erforderliche Zwecke, - Entzug nicht mehr benötigter Zugriffe bei Anlass. 4. Übertragung und Geheimnisse - verschlüsselte Übertragung über TLS/HTTPS, - verschlüsselte Anbindung externer Dienste, - Speicherung von API-Schlüsseln und Geheimnissen in geschützten Umgebungsvariablen und nicht im öffentlich zugänglichen Quellcode, - keine planmäßige Übermittlung produktiver Daten über ungesicherte Kommunikationswege. 5. Entwicklungs- und Testumgebung - keine planmäßige Verwendung realer Gästedaten für Entwicklung oder Tests, - Trennung von produktiven Daten und Entwicklungszwecken im technisch vorgesehenen Umfang. 6. Protokollierung - Protokollierung sicherheitsrelevanter Ereignisse, insbesondere fehlgeschlagener Anmeldungen, Rate-Limit-Sperren und administrativer Zugriffe auf Reservierungsfunktionen, - Aufbewahrung eigener Sicherheitsprotokolle grundsätzlich bis zu 90 Tage, - kein vollständiges Änderungs-Audit sämtlicher fachlicher Datensätze, soweit nicht ausdrücklich als Funktion bereitgestellt. 7. Verfügbarkeit und Sicherung - Nutzung der Verfügbarkeits- und Sicherungsfunktionen der eingesetzten Cloudanbieter nach Maßgabe des jeweils gebuchten Infrastrukturplans, - keine eigene Multi-Provider-Redundanz und keine davon unabhängige zusätzliche Datensicherung, soweit nicht ausdrücklich vereinbart, - Wiederherstellung im Rahmen der technisch verfügbaren Anbieterfunktionen. 8. Integrität und Eingabeprüfung - Validierung wesentlicher Eingaben, - Datenbankseitiger Schutz vor gleichzeitiger Doppelbelegung desselben Tisches im gleichen Zeitraum, - Schutz vor unberechtigten Änderungen durch Berechtigungsprüfungen, - Sicherheitsupdates und Behandlung bekannt gewordener Schwachstellen nach Risiko und Dringlichkeit. 9. Löschung und Speicherbegrenzung - dokumentierte Standardlöschfristen, - automatisierte Löschroutinen für die vorgesehenen Datenkategorien, - manuelle Bearbeitung berechtigter Einzelanweisungen, soweit keine Self-Service-Funktion besteht, - Löschung von Sicherungskopien nach den Zyklen der Infrastrukturbetreiber. 10. Umgang mit Sicherheitsvorfällen - manuelle Prüfung und Behandlung bekannt gewordener Sicherheitsvorfälle, - Sicherung verfügbarer Protokolle und Dokumentation erforderlicher Maßnahmen, - Information des Verantwortlichen nach § 12 dieses Vertrags. 11. Datenschutzfreundliche Verarbeitung - optionale Erhebung von E-Mail-Adresse und Telefonnummer nur, soweit für die jeweilige Reservierungsart vorgesehen, - sichtbarer Hinweis gegen die Eingabe besonderer Kategorien personenbezogener Daten in Freitextfelder, - keine planmäßige Übertragung von Reservierungs- oder Gesundheitsdaten an KI-Anbieter, - keine Verwendung von Reservierungsdaten zum Training eigener KI-Modelle.
1. Supabase Pte. Ltd. Leistung: Datenbank, Authentifizierung, Dateispeicherung und Backend-Infrastruktur Betroffene Daten: Restaurant-, Benutzer-, Reservierungs-, Datei- und technische Daten Verarbeitung: primäre Projektregion innerhalb der EU, soweit entsprechend konfiguriert; weitere Verarbeitung nach Maßgabe der Anbieterbedingungen Drittlandgrundlage: Anbieter-DPA und, soweit erforderlich, ein Übermittlungsmechanismus nach Art. 44 ff. DSGVO 2. Vercel Inc. Leistung: Hosting, Serverfunktionen, Netzwerk- und Auslieferungsinfrastruktur Betroffene Daten: Website-, Anfrage-, Benutzer-, Reservierungs- und technische Protokolldaten Verarbeitung: primäre Funktionsregion innerhalb der EU, soweit entsprechend konfiguriert; Netzwerk-, Support- und Sicherheitsverarbeitung kann an weiteren Standorten erfolgen Drittlandgrundlage: Anbieter-DPA und, soweit erforderlich, ein Übermittlungsmechanismus nach Art. 44 ff. DSGVO 3. Cloudflare, Inc. Leistung: DNS-Namensauflösung der Domain hallotisch.com; kein Proxy- oder Sicherheitsfunktionsbetrieb für den Website- und Anwendungsdatenverkehr Betroffene Daten: bei DNS-Abfragen anfallende technische Daten, insbesondere die anfragende IP-Adresse Verarbeitung: globales Netzwerk nach Maßgabe der Anbieterbedingungen Drittlandgrundlage: Anbieter-DPA und, soweit erforderlich, ein Übermittlungsmechanismus nach Art. 44 ff. DSGVO 4. Resend Inc. Leistung: Versand von Reservierungs-, Vertrags-, Sicherheits- und System-E-Mails Betroffene Daten: Name, E-Mail-Adresse, Reservierungsdaten, Nachrichteninhalt und Versandinformationen Verarbeitung: insbesondere in den USA nach Maßgabe der Anbieterbedingungen Drittlandgrundlage: Anbieter-DPA und, soweit erforderlich, ein Übermittlungsmechanismus nach Art. 44 ff. DSGVO 5. OpenAI Ireland Limited und verbundene OpenAI-Unternehmen Leistung: API-basierte Speisekartenerkennung und sonstige ausdrücklich freigeschaltete KI-Funktionen Betroffene Daten: Speisekartenbilder, Speisekartentexte und sonstige für die jeweilige Funktion erforderliche Inhalte Einschränkung: Reservierungsdaten und Gesundheitsdaten werden nicht planmäßig an OpenAI übermittelt Verarbeitung: nach Maßgabe des OpenAI-DPA innerhalb des EWR und gegebenenfalls in Drittländern Drittlandgrundlage: OpenAI-DPA und, soweit erforderlich, ein Übermittlungsmechanismus nach Art. 44 ff. DSGVO Nicht von diesem AVV erfasst Stripe wird für die Abrechnung des HalloTisch-Abonnements eingesetzt und verarbeitet dabei keine Reservierungsdaten im Auftrag des Restaurants. Stripe ist daher kein Unterauftragsverarbeiter innerhalb dieses Auftragsverhältnisses. DeepSeek wird nicht zur planmäßigen Verarbeitung personenbezogener Daten im Auftrag des Restaurants eingesetzt. Vor einer künftigen Verarbeitung personenbezogener oder pseudonymisierter Kundendaten durch DeepSeek ist eine gesonderte datenschutzrechtliche Prüfung und erforderlichenfalls eine Ergänzung dieser Anlage notwendig.