Vertrag zur Auftragsverarbeitung (AVV)

Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO – Fassung 2026-10a

Präambel, Vertragsparteien und Abgrenzung der datenschutzrechtlichen Rollen

§ 1 Vertragsparteien

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV") gilt zwischen:

1. Dem Kunden (Gastronomiebetrieb / Unternehmer gem. § 14 BGB),
   der auf der Plattform solook.de ein Nutzerkonto registriert und/oder den Einrichtungsservice beauftragt (konkrete Unternehmens- und Kontaktdaten ergeben sich aus den im Kundenkonto bzw. im Einrichtungsauftrag hinterlegten Vertragsstammdaten)
   – nachfolgend „Auftraggeber" oder „Verantwortlicher" –

und

2. Murat Bali, Inhaber, handelnd unter der Geschäftsbezeichnung solook Speisekarten,
   Eschstr. 10, 32139 Spenge, Deutschland,
   Telefon: +49 (0) 5225 862 68 38, E-Mail: info@solook.de
   – nachfolgend „Auftragsverarbeiter" oder „solook" –.

(Auftraggeber und Auftragsverarbeiter nachfolgend gemeinsam „Parteien")

§ 2 Abgrenzung zwischen Auftragsverarbeitung und eigener Verantwortlichkeit von solook

(1) Gegenstand der Auftragsverarbeitung (Art. 28 DSGVO):
Dieser AVV gilt ausschließlich für diejenigen Datenverarbeitungsvorgänge, bei denen solook personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers verarbeitet. Dies betrifft:

1. das Hosting, die Speicherung, Verwaltung und öffentliche Bereitstellung der vom Auftraggeber (oder in dessen Auftrag im Rahmen des Einrichtungsservices) eingepflegten aktiven Speisekarteninhalte, Kategorien, Gerichte, Preise, Allergene, Zusatzstoffe, Varianten, Restaurant-Logos und öffentlichen Betriebsangaben, soweit diese personenbezogene Daten enthalten (z. B. Namen von Inhabern, Ansprechpartnern, Familienmitgliedern oder Mitarbeitenden, Personenabbildungen oder Bild-/Dokument-Metadaten);
2. die Entgegennahme, geschützte Speicherung und vorbereitende Digitalisierung von Speisekartenvorlagen (z. B. PDF-, Bild-, Text- oder Office-Dateien sowie verlinkte Online-Speisekarten) im Rahmen des optionalen Einrichtungsservices gemäß § 3 der Allgemeinen Geschäftsbedingungen (AGB) bis zur ausdrücklichen Freigabe durch den Auftraggeber;
3. die technische Bereitstellung und Auslieferung der veröffentlichten digitalen Speisekarte an die Gäste und Seitenbesucher des Auftraggebers (einschließlich der hierbei technisch anfallenden Webserver-Verbindungsdaten beim Unterauftragsverarbeiter ALL-INKL.COM) sowie – sofern vom Auftraggeber im Kunden-Dashboard ausdrücklich aktiviert (Opt-in; standardmäßig deaktiviert) – die auf Weisung des Auftraggebers erfolgende Aktualisierungsmeldung der öffentlichen Speisekarten-Adresse (URL) über das Protokoll IndexNow an teilnehmende Suchmaschinenbetreiber.

(2) Eigene datenschutzrechtliche Verantwortlichkeit von solook (Art. 4 Nr. 7 DSGVO – NICHT Gegenstand dieses AVV):
Die datenschutzrechtliche Rollenverteilung richtet sich nach den tatsächlichen Zwecken und Mitteln der jeweiligen Verarbeitung (Art. 4 Nr. 7 und Nr. 8, Art. 28 DSGVO); die bloße getrennte Speicherung von Daten begründet für sich genommen noch keine eigene datenschutzrechtliche Verantwortlichkeit. solook handelt nach Maßgabe der Datenschutzerklärung (https://solook.de/datenschutz.php) ausschließlich für diejenigen Vertrags-, Freigabe-, Fristen- und Löschprotokolldaten als eigenständiger Verantwortlicher, die tatsächlich zu eigenen, rechtmäßig begründeten Zwecken als Anbieter und Vertragspartner verarbeitet werden – insbesondere für: (a) Vertragsabschluss, Rechnungsstellung und gesetzliche Nachweispflichten, (b) die Dokumentation der ausdrücklich erteilten Kundenfreigabe, (c) den Nachweis der vertragskonformen Einrichtung bei konkreten Reklamations- und Haftungsrisiken sowie (d) die erforderliche Dokumentation administrativer Löschvorgänge. Dokumentierte und gegen nachträgliche Veränderung geschützte Freigabenachweise, Vertrags- und Abschlussnachweise sowie steuerlich oder vertraglich notwendige Dokumente werden datenschutzrechtlich und technisch gesondert von den im Auftrag verarbeiteten Original-Speisekartendateien behandelt. Soweit dokumentierte Freigabenachweise gespeichert werden, erfolgt dies zeitlich, inhaltlich, zweck- und zugriffsbezogen streng auf das nachweislich Erforderliche beschränkt. Nicht unter diesen AVV fallen demnach insbesondere:

1. die Anlage, Anmeldung und Verwaltung des Benutzerkontos (E-Mail-Adresse, verschlüsselter Passwort-Prüfwert, E-Mail-Bestätigung, Passwort-Zurücksetzung, Sitzungsverwaltung);
2. die Vertragsanbahnung, Prüfung der Antragsberechtigung zum Marktstart (§ 3 Abs. 5 AGB), Vertragsdurchführung, Tarifverwaltung (gemäß § 2 und § 3 der AGB), Dokumentation der Vertrags- und Abschlussnachweise (AGB- und AVV-Vereinbarungen sowie Einrichtungsaufträge) und Rechnungsstellung einschließlich der Weitergabe abrechnungsrelevanter Belege an Steuerberater und Finanzbehörden sowie der Erfüllung gesetzlicher Aufbewahrungspflichten nach Handels- und Steuerrecht (§ 147 AO, § 257 HGB);
3. die auf die vorgenannten eigenen, rechtmäßig begründeten Zwecke beschränkte Dokumentation der ausdrücklichen Kundenfreigabe, der Nachweis der vertragskonformen Einrichtung bei konkreten Reklamations- und Haftungsrisiken sowie die erforderliche Fristen- und Löschprotokollierung (Art. 6 Abs. 1 lit. b, c, f, Art. 17 Abs. 3 lit. b, e DSGVO), bestehend aus:
   • den Auftrags-, Frist- und Freigabeangaben (Bestätigung der Unternehmereigenschaft nach § 14 BGB, Beauftragungsbestätigung, akzeptierte AGB-Version, Zeitpunkt der letzten Kundenaktivität, Ablehnungs- oder Abbruchvermerke, dokumentierter Freigabezeitpunkt, Freigabekanal, Freigaberolle sowie Prüfsumme des zur Prüfung bereitgestellten Speisekartenstands),
   • dem bei ausdrücklicher Kundenfreigabe (oder dokumentierter Freigabe auf Basis einer Kundenbestätigung in Textform) erzeugten, dokumentierten und gegen nachträgliche Veränderung geschützten Freigabenachweis (getrennt von der aktiven Kunden-Speisekarte, gesichert durch eindeutige Prüfsummen und serverseitige Sicherheitssignatur sowie zeitlich, inhaltlich, zweck- und zugriffsbezogen auf das nachweislich Erforderliche beschränkt),
   • den unveränderbaren Vertrags- und Abschlussnachweisen über elektronisch vereinbarte Auftragsverarbeitungsverträge samt zugehörigem Vertragsarchiv sowie den datensparsamen Löschprotokollen über durchgeführte manuelle Dateilöschungen;
4. der eigene Support- und E-Mail-Verkehr zwischen solook und dem Auftraggeber;
5. Maßnahmen zur Aufrechterhaltung der allgemeinen IT- und Plattform-Sicherheit von solook.de (insbesondere die pseudonymisierte Missbrauchs- und Angriffserkennung beim Rate-Limiting, der Schutz von Formularen gegen untergeschobene Fremdanfragen sowie die Auswertung von Webserver-Logdateien zur Abwehr von Cyberangriffen auf die Gesamtplattform).

§ 3 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand und Zweck:
Gegenstand und Zweck der Auftragsverarbeitung ergeben sich aus dem zwischen den Parteien geschlossenen Hauptvertrag (Nutzungsvertrag über die Plattform solook im FREE- oder PLUS-Tarif und/oder Einzelauftrag über den Einrichtungsservice gemäß den AGB in der Fassung 2026-10). Die Verarbeitung umfasst:

• das Speichern, Strukturieren, Übersetzen (soweit vom Auftraggeber oder im Einrichtungsservice genutzt) und Veröffentlichen der aktiven Speisekarteninhalte sowie Restaurant-Logos auf der Plattform;
• sofern der Auftraggeber diese Option im Kunden-Dashboard ausdrücklich aktiviert hat (Opt-in; standardmäßig deaktiviert): die auf Weisung des Auftraggebers erfolgende Übermittlung der öffentlichen Speisekarten-Adresse (URL) an alle am Protokoll IndexNow (api.indexnow.org) teilnehmenden Suchmaschinenbetreiber (insbesondere Microsoft Bing, Yandex, Seznam und Naver) bei Inhaltsaktualisierungen im Dashboard, um die Auffindbarkeit der veröffentlichten Speisekarte im Suchindex zu aktualisieren (ohne Übermittlung von Besucher-IP-Adressen);
• sofern der Auftraggeber den Einrichtungsservice beauftragt: das Entgegennehmen, geschützte Speichern, manuelle Auslesen und vorbereitende Übertragen der vom Auftraggeber bereitgestellten Speisekartenvorlagen in das Kundenkonto des Auftraggebers durch das solook-Team bis zur ausdrücklichen Prüfung und Freigabe durch den Auftraggeber (im aktuellen Betriebszustand ohne Einsatz externer KI-Dienste wie Google Gemini; vgl. § 7 Abs. 2).

(2) Kategorien betroffener Personen und personenbezogener Daten:
Die Kategorien der verarbeiteten personenbezogenen Daten und der betroffenen Personen sind in Anlage 1 zu diesem AVV festgelegt.

(3) Dauer der Verarbeitung:
Dieser AVV tritt mit seiner gesonderten elektronischen Vereinbarung in Kraft und gilt für die gesamte Dauer, in der solook im Auftrag des Auftraggebers personenbezogene Daten verarbeitet (vgl. zur Löschung, Rückgabe und zu den Aufbewahrungsfristen § 10 dieses AVV).

§ 4 Gesetzliche Pflichten beider Parteien und dokumentierte Weisungen (Art. 28 Abs. 3 Satz 2 lit. a DSGVO)

(1) Gesetzliche Pflichten des Auftraggebers (Verantwortlicher):
Der Auftraggeber trägt als datenschutzrechtlich Verantwortlicher die Verantwortung für die Rechtmäßigkeit der durch ihn veranlassten Datenverarbeitung und Datenweitergabe an solook (insbesondere nach Art. 6 DSGVO) sowie für die Erfüllung der erforderlichen Informationspflichten gegenüber den betroffenen Personen (Art. 13, 14 DSGVO). Die eigenen gesetzlichen Pflichten und die datenschutzrechtliche Verantwortlichkeit von solook als Auftragsverarbeiter – insbesondere nach Art. 28 und Art. 32 DSGVO – sowie die gesetzlichen Haftungsregelungen (Art. 82 DSGVO) bleiben hiervon unberührt; eine pauschale Freizeichnung von solook für eigene Datenschutzverstöße ist damit nicht verbunden.

(2) Besondere Verantwortung des Auftraggebers für Speisekartenvorlagen, Logos und Personenbezug:
Der Auftraggeber stellt sicher, dass er zur Übermittlung und Veröffentlichung sämtlicher in Speisekarten, Restaurant-Logos oder Speisekartenvorlagen enthaltenen personenbezogenen Daten (z. B. Namen oder Fotos von Mitarbeitenden, Köchen, Familienmitgliedern oder sonstigen Dritten sowie etwaiger in Bild- oder Dokumentdateien enthaltener Metadaten/EXIF-Daten) berechtigt ist. Unabhängig hiervon bleibt der Auftraggeber als Lebensmittelunternehmer gemäß § 3 Abs. 8 und § 5 der AGB verpflichtet, sämtliche im Rahmen des Einrichtungsservices vorbereiteten Speisekarteninhalte vor der ausdrücklichen Freigabe eigenverantwortlich auf Richtigkeit und Vollständigkeit zu prüfen.

(3) Gesetzliche Pflichten von solook (Auftragsverarbeiter) und Weisungsgebundenheit (Art. 28 Abs. 3 Satz 2 lit. a DSGVO):
solook verarbeitet die unter diesen AVV fallenden personenbezogenen Daten ausschließlich auf Grundlage der dokumentierten Weisungen des Auftraggebers – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation –, sofern solook nicht durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem solook unterliegt, zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt solook dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(4) Art der Weisungserteilung:
Die anfänglichen Weisungen des Auftraggebers sind durch diesen AVV und den Hauptvertrag (AGB) festgelegt. Im laufenden Betrieb erteilt der Auftraggeber seine Weisungen primär durch die eigenständige Nutzung der Funktionen im Kunden-Dashboard sowie im Rahmen des Einrichtungsservices durch Übermittlung von Vorlagen, Korrektur- und Änderungswünschen oder der ausdrücklichen Freigabeerklärung in Textform. Darüber hinausgehende Einzelweisungen bedürfen der Textform (per E-Mail an info@solook.de).

(5) Hinweispflicht bei rechtswidrigen Weisungen und Verzeichnis von Verarbeitungstätigkeiten:
Ist solook der Ansicht, dass eine Weisung des Auftraggebers gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert solook den Auftraggeber unverzüglich (Art. 28 Abs. 3 Unterabs. 2 DSGVO). solook ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird. Beide Parteien erfüllen jeweils in ihrem Zuständigkeitsbereich ihre gesetzlichen Dokumentationspflichten nach Art. 30 Abs. 1 bzw. Abs. 2 DSGVO.

§ 5 Vertraulichkeit (Art. 28 Abs. 3 Satz 2 lit. b DSGVO)

solook gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitspflicht besteht auch nach Beendigung dieses AVV fort.

§ 6 Technisch-organisatorische Maßnahmen – TOMs (Art. 28 Abs. 3 Satz 2 lit. c, Art. 32 DSGVO)

(1) solook ergreift im eigenen Verantwortungsbereich geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau für die im Auftrag verarbeiteten Daten zu gewährleisten.

(2) Die zum Zeitpunkt des Vertragsschlusses technisch implementierten Sicherheitsmaßnahmen sind in Anlage 2 zu diesem AVV dokumentiert.

(3) Technische und organisatorische Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung der Plattform. solook ist berechtigt, alternative adäquate Maßnahmen umzusetzen, sofern das Sicherheitsniveau der in Anlage 2 festgelegten Maßnahmen dabei nicht unterschritten wird.

§ 7 Einsatz von Unterauftragsverarbeitern und derzeit nicht eingesetzter Google-Dienst (Art. 28 Abs. 2, Abs. 3 Satz 2 lit. d, Abs. 4 DSGVO)

(1) Allgemeine Genehmigung und aktiv eingesetzter Unterauftragsverarbeiter:
Der Auftraggeber erteilt solook hiermit die allgemeine Genehmigung, zur Durchführung der vertraglichen Leistungen weitere Auftragsverarbeiter (Unterauftragsverarbeiter) unter Einhaltung der Voraussetzungen des Art. 28 Abs. 2 und 4 DSGVO einzuschalten. Der zum Marktstart ausschließlich aktiv eingesetzte Unterauftragsverarbeiter (ALL-INKL.COM – Neue Medien Münnich) ist in Anlage 3 aufgeführt.

(2) Ausklammerung von Google Gemini zum Marktstart (derzeit nicht eingesetzter, künftig optionaler Dienst):
Eine für den internen Verwaltungsbereich vorbereitete Funktion zur KI-gestützten Texterkennung über Google Gemini ist im aktuellen Betriebszustand deaktiviert und wird zum Marktstart nicht eingesetzt. Eine Übermittlung von Speisekartendaten an Google Gemini findet derzeit nicht statt. Google ist daher aktuell kein aktiver Unterauftragsverarbeiter im Rahmen dieses AVV. Vor einer etwaigen späteren Aktivierung und Nutzung von Google Gemini für Speisekartenvorlagen mit personenbezogenen Kundendaten müssen zunächst:

1. die konkreten Vertragsgrundlagen mit Google (einschließlich Abschluss und Prüfung eines Auftragsverarbeitungsvertrags / Data Processing Addendum nach Art. 28 DSGVO sowie Festlegung der vertragsschließenden Google-Einheit),
2. die rechtlichen Garantien für etwaige Drittlandtransfers nach Art. 44 ff. DSGVO,
3. die vorherige Information des Auftraggebers nach dem Unterauftragsverarbeiter-Verfahren gemäß § 7 Abs. 4 (mit 14-tägiger Widerspruchsfrist) sowie gegebenenfalls eine Aktualisierung oder Ergänzung dieses AVV

abschließend geprüft und umgesetzt sein. Selbst im Falle einer späteren Freischaltung ist technisch sichergestellt, dass niemals ungeprüfte Originaldateien übertragen werden, sondern ausschließlich durch berechtigte Mitarbeiter lokal vorab geprüfte, zugeschnittene, von Metadaten (EXIF/GPS) bereinigte und bei Bedarf dauerhaft geschwärzte Bildkopien.

(3) Vertragliche Pflichten gegenüber Unterauftragsverarbeitern:
Nimmt solook die Dienste eines Unterauftragsverarbeiters in Anspruch, legt solook diesem im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht des betreffenden Mitgliedstaats dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet solook gegenüber dem Auftraggeber für die Einhaltung der Pflichten jenes anderen Auftragsverarbeiters.

(4) Verfahren bei Änderungen oder neuen Unterauftragsverarbeitern & Widerspruchsrecht:

1. solook informiert den Auftraggeber in Textform (per E-Mail an die im Kundenkonto hinterlegte Adresse) mit einer Vorankündigungsfrist von mindestens 14 Kalendertagen vorab über jede beabsichtigte Hinzuziehung eines neuen oder die Ersetzung eines bisherigen Unterauftragsverarbeiters.
2. Der Auftraggeber kann der Änderung innerhalb von 14 Kalendertagen nach Zugang der Information aus wichtigem, datenschutzrechtlich begründetem Anlass in Textform (per E-Mail an info@solook.de) widersprechen.
3. Erfolgt innerhalb der Frist kein begründeter Widerspruch, gilt die Änderung als genehmigt.
4. Erhebt der Auftraggeber fristgerecht einen datenschutzrechtlich begründeten Widerspruch und ist es solook nicht möglich oder zumutbar, die Leistung ohne den betreffenden Unterauftragsverarbeiter zu erbringen, steht beiden Parteien ein außerordentliches Kündigungsrecht bezüglich des betroffenen Leistungsteils bzw. des Nutzungsvertrags zu.

§ 8 Ort der Datenverarbeitung und Ausschluss von Drittlandtransfers für Speisekartenvorlagen (Art. 28 Abs. 3 Satz 2 lit. a, Art. 44 ff. DSGVO)

(1) Verarbeitung innerhalb Deutschlands / der Europäischen Union:
Das primäre Webhosting, die Datenbankhaltung, die Speicherung hochgeladener Speisekartenvorlagen und der Transaktions-E-Mail-Versand erfolgen über den Unterauftragsverarbeiter ALL-INKL.COM ausschließlich auf Servern in Rechenzentren in der Bundesrepublik Deutschland.

(2) Keine Übermittlung von Speisekartenvorlagen an Google Gemini oder in Drittländer im aktuellen Betriebszustand; Hinweis zur optionalen Suchmaschinenmeldung (IndexNow):
Im aktuellen Betriebszustand findet keine Übermittlung von Speisekartenvorlagen oder sonstigen hochgeladenen Kundendateien an Google Gemini und auch sonst keine Übermittlung von Speisekartenvorlagen in Drittländer außerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR) statt. Eine Meldung der öffentlichen Speisekarten-Adresse (URL, ohne Besucher-IP-Adressen) über das Protokoll IndexNow an teilnehmende Suchmaschinenbetreiber ist für Kunden-Speisekarten standardmäßig deaktiviert und erfolgt ausschließlich dann, wenn der Auftraggeber diese Funktion im Kunden-Dashboard ausdrücklich aktiviert und damit solook zur Übermittlung anweist (§ 3 Abs. 1, Art. 28 Abs. 3 Satz 2 lit. a DSGVO). Da alle am IndexNow-Protokoll teilnehmenden Suchmaschinenbetreiber (insbesondere Microsoft Bing, Yandex, Seznam und Naver) eingereichte URLs untereinander teilen, kann hierbei – sofern die öffentliche Speisekarten-URL den Namen einer natürlichen Person (z. B. des Betriebsinhabers) enthält – auf Weisung des Auftraggebers ein Personenbezug auch an Suchmaschinenbetreiber in Drittländern außerhalb des EWR (insbesondere USA, Russische Föderation / Russland und Südkorea) übermittelt werden.

(3) Voraussetzungen vor etwaigen künftigen Drittlandtransfers:
Eine darüber hinausgehende Übermittlung personenbezogener Auftragsdaten in ein Drittland außerhalb der EU bzw. des EWR darf auch künftig nur dann erfolgen, wenn hierfür eine dokumentierte Weisung des Auftraggebers vorliegt (Art. 28 Abs. 3 Satz 2 lit. a DSGVO), die besonderen Voraussetzungen der Art. 44 ff. DSGVO nachweislich erfüllt sind und – soweit ein neuer Unterauftragsverarbeiter wie ein optionaler KI-Dienst betroffen ist – das Verfahren nach § 7 Abs. 2 und Abs. 4 zuvor vollständig durchlaufen wurde.

§ 9 Unterstützungspflichten von solook und Meldung von Datenschutzvorfällen (Art. 28 Abs. 3 Satz 2 lit. e, f DSGVO)

(1) Unterstützung bei Betroffenenrechten (Art. 12–22 DSGVO):
Angesichts der Art der Verarbeitung unterstützt solook den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III der DSGVO genannten Rechte der betroffenen Personen nachzukommen.

(2) Unterstützung nach Art. 32 bis 36 DSGVO:
solook unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der solook zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation).

(3) Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33 Abs. 2 und 3 DSGVO):
Wird solook eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Auftrag des Auftraggebers verarbeitete Daten betrifft, meldet solook dies dem Auftraggeber unverzüglich, nach Möglichkeit innerhalb von 24 Stunden nach Bekanntwerden, in Textform (per E-Mail an die im Kundenkonto hinterlegte Adresse). Die Meldung enthält – soweit die Informationen zum Meldezeitpunkt vorliegen oder sonst schrittweise ohne unangemessene weitere Verzögerung – mindestens folgende Angaben gemäß Art. 33 Abs. 3 DSGVO:

1. eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der betroffenen Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
2. den Namen und die Kontaktdaten des Ansprechpartners bei solook für weitere Informationen;
3. eine Beschreibung der wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
4. eine Beschreibung der von solook ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

§ 10 Löschung, Rückgabe und Aufbewahrung (Art. 28 Abs. 3 Satz 2 lit. g DSGVO)

(1) Löschung oder Rückgabe von Auftragsdaten nach Wahl des Auftraggebers (Art. 28 Abs. 3 Satz 2 lit. g DSGVO) und Abgrenzung zur Nachweisaufbewahrung:

1. Auftragsdaten nach Art. 28 Abs. 3 Satz 2 lit. g DSGVO: Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht solook nach Wahl des Auftraggebers (Verantwortlichen) alle im Auftrag verarbeiteten personenbezogenen Auftragsdaten oder gibt sie dem Auftraggeber zurück (insbesondere durch Bereitstellung bzw. Herausgabe der strukturierten Speisekartendaten und/oder der noch vorhandenen eingereichten Original-Speisekartenvorlagen in einem gängigen elektronischen Format vor deren Löschung) und löscht die bestehenden Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine gesetzliche Verpflichtung zur Speicherung der personenbezogenen Daten besteht.
2. Saubere Trennung zur Nachweisaufbewahrung in eigener Verantwortlichkeit: Von der Rückgabe- und Löschpflicht für Auftragsdaten nach Nr. 1 ist die in eigener datenschutzrechtlicher Verantwortlichkeit von solook erfolgende, eng zweckgebundene Aufbewahrung erforderlicher Vertrags-, Abrechnungs-, Abschluss-, Freigabe- und Löschprotokollnachweise (§ 2 Abs. 2 und § 10 Abs. 3 dieses AVV) zur Erfüllung gesetzlicher Aufbewahrungspflichten (insbesondere § 257 HGB, § 147 AO; Art. 6 Abs. 1 lit. c, Art. 17 Abs. 3 lit. b DSGVO) oder zum konkreten Nachweis der vertragskonformen Leistungserbringung und Kundenabnahme (Art. 6 Abs. 1 lit. f, Art. 17 Abs. 3 lit. e DSGVO) strikt zu trennen. Ein bloß allgemeines Interesse an etwaiger Rechtsverteidigung nimmt jedoch nicht pauschal sämtliche im Auftrag verarbeiteten Daten von der Rückgabe- und Löschpflicht nach Art. 28 Abs. 3 Satz 2 lit. g DSGVO aus; insbesondere erfolgt keine pauschale, zeitlich unbegrenzte Aufbewahrung vollständiger Speisekartenkopien oder eingereichter Original-Speisekartenvorlagen.

(2) Aktive Speisekarte und Kontolöschung im laufenden Betrieb:

1. Der Auftraggeber kann im Kunden-Dashboard jederzeit einzelne Kategorien, Gerichte, Zutaten und das hochgeladene Restaurant-Logo bearbeiten oder löschen.
2. Über die Kontolöschfunktion im Dashboard kann der Auftraggeber sein Konto einschließlich der aktiven öffentlichen Speisekarte und des Restaurant-Logos unmittelbar selbst löschen, sofern für das Konto keine aufbewahrungspflichtigen Einrichtungs-, Gutschrifts-, Freigabe- oder Vertragsnachweise oder Sperrgründe vorliegen.
3. Liegen für ein Konto geschützte Vertrags- oder Freigabenachweise oder eine aktive Beweissicherungssperre (Legal Hold) vor, ist die unmittelbare Selbstlöschung im Profil gesperrt, um den vorzeitigen Verlust gesetzlich oder vertraglich erforderlicher Nachweise zu vermeiden. Auf Anfrage an info@solook.de führt solook nach Wahl des Auftraggebers die vorherige Rückgabe/Herausgabe sowie die Löschung der aktiven öffentlichen Speisekarte und der nicht mehr benötigten Profildaten durch, während erforderliche Vertrags-, Abrechnungs-, Abschluss- und Freigabenachweise gesondert und gesperrt für die Dauer der jeweiligen Aufbewahrungsfrist erhalten bleiben.

(3) Aufbewahrung und manuelle Bereinigung von Original-Speisekartendateien sowie gesonderte Behandlung von Nachweisen:

1. Original-Speisekartendateien aus dem Einrichtungsservice: Im Rahmen des Einrichtungsservices hochgeladene Originaldateien werden ausschließlich in einem vor öffentlichem Webzugriff geschützten Serverbereich (ohne Versand als E-Mail-Anhang) gespeichert. Für Original-Speisekartendateien gelten folgende verbindliche Aufbewahrungsfristen:
   • Erfolgreich freigegebene Aufträge: 12 Kalendermonate ab dokumentierter Kundenfreigabe.
   • Abgelehnte / stornierte Aufträge: 30 Tage ab dokumentierter Ablehnung bzw. Stornierung.
   • Nicht weiterverfolgte Aufträge: 90 Tage ab letzter tatsächlich dokumentierter Kundenaktivität (d. h. Auftragseingang, Änderungsanfrage oder Freigabe durch den Kunden; reine Bearbeitungsaktionen durch Mitarbeiter gelten nicht als Kundenaktivität) unter Berücksichtigung des dokumentierten Nichtweiterverfolgungsverfahrens.
   • Laufende Streitfälle (Legal Hold): Nur bei einem konkreten und begründeten Sicherungsbedarf (z. B. laufende Reklamation, behördliches Verfahren oder konkreter Rechtsstreit) sind erforderliche Nachweise und Originaldateien durch eine Beweissicherungssperre (Legal Hold) bis zur abschließenden Klärung vor einer Löschung geschützt.
   Für Altdaten ohne verlässlichen Ausgangszeitstempel werden keine Fristen geschätzt; diese Fälle werden zur manuellen Prüfung markiert. Ebenso sind Dateien, die noch von einem anderen aktiven Auftrag benötigt werden, gegen vorzeitige Löschung geschützt. Die Entfernung fälliger Originaldateien vom Server erfolgt durch berechtigte Mitarbeiter nach vorheriger Prüfung und Bestätigung und wird in datensparsamen Löschprotokollen (ohne Klartext-Kundennamen und ohne Klartext-Dateinamen) dokumentiert.
2. Gesonderte Behandlung von Freigabenachweisen, Vertrags- und Abschlussnachweisen sowie Rechnungsunterlagen: Dokumentierte und gegen nachträgliche Veränderung geschützte Freigabenachweise, Vertrags- und Abschlussnachweise sowie steuerlich oder vertraglich notwendige Abrechnungs- und Vertragsdokumente (Servicegutschriften, Rechnungen und Buchungsbelege) werden von den vorstehenden Fristen für Original-Speisekartendateien gesondert behandelt:
   • Dokumentierte Freigabenachweise: Ihre gesonderte, von der aktiven Speisekarte getrennte und für den regulären Betrieb gesperrte Aufbewahrung erfolgt zeitlich, inhaltlich, zweck- und zugriffsbezogen auf das nachweislich Erforderliche beschränkt zum Nachweis der vertragskonformen Leistungserbringung, der ausdrücklich erteilten Kundenfreigabe sowie zur Abwehr oder Geltendmachung konkreter Rechtsansprüche (Art. 6 Abs. 1 lit. f, Art. 17 Abs. 3 lit. e DSGVO) für die Dauer der regelmäßigen zivilrechtlichen Verjährungsfrist von drei Jahren zum Schluss des Kalenderjahres gemäß §§ 195, 199 BGB.
   • Vertrags- und Abschlussnachweise (einschließlich Vertragsarchiv): Werden gesondert zur Erfüllung der datenschutzrechtlichen Rechenschafts- und Nachweispflichten (Art. 5 Abs. 2, Art. 28 Abs. 9, Art. 17 Abs. 3 lit. b und lit. e DSGVO) für die Dauer des Vertragsverhältnisses sowie anschließend im Rahmen der gesetzlichen Nachweis- und Verjährungsfristen aufbewahrt.
   • Rechnungs-, Buchungs- und steuerrechtlich relevante Vertragsunterlagen: Werden gesondert nach Maßgabe der zwingenden handels- und steuerrechtlichen Aufbewahrungspflichten (§ 257 HGB, § 147 AO; bis zu 8 bzw. 10 Jahre) aufbewahrt (Art. 6 Abs. 1 lit. c, Art. 17 Abs. 3 lit. b DSGVO).
3. Zweckbindung, regelmäßige Erforderlichkeitsprüfung und Löschung nach Zweckerreichung: Sämtliche vorstehenden Aufbewahrungsfristen sind streng zweckgebunden. solook überprüft die gespeicherten Bestände regelmäßig auf ihre fortbestehende Erforderlichkeit; nach Ablauf der jeweiligen Frist bzw. nach Wegfall des jeweiligen Aufbewahrungs- oder Sicherungsgrundes werden die betreffenden Daten gelöscht. Eine Beweissicherungssperre (Legal Hold) darf ausschließlich bei einem konkreten und begründeten Sicherungsbedarf gesetzt und nur bis zum Wegfall dieses Sicherungsgrundes aufrechterhalten werden.
4. Server-Logdateien und Backups bei ALL-INKL.COM: Server-Logdateien beim Abruf öffentlicher Speisekarten werden beim Unterauftragsverarbeiter ALL-INKL.COM standardmäßig für maximal 7 Tage gespeichert und anschließend automatisch gelöscht. Nach den Angaben von ALL-INKL.COM werden zur Systemwiederherstellung regelmäßige Sicherungskopien erstellt (FTP-Dateisicherungen ungefähr alle 14 Tage, normalerweise zwei Sicherungen, maximal etwa zwei bzw. vier Wochen alt; MySQL-Sicherungen vom Vortag, von vor etwa 5–8 und 9–12 Tagen). Im aktiven System gelöschte Daten oder Dateien sind im Produktivbetrieb nicht mehr abrufbar, können jedoch vorübergehend noch in bestehenden Sicherungskopien verbleiben und werden im Rahmen der jeweiligen Backup-Rotation fortlaufend überschrieben.

§ 11 Nachweise und Überprüfungen / Audits (Art. 28 Abs. 3 Satz 2 lit. h DSGVO)

(1) solook stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten in Textform zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Auftraggeber oder einem anderen von diesem beauftragten, zur Berufsverschwiegenheit verpflichteten Prüfer durchgeführt werden, und trägt dazu bei.

(2) Prüfungen erfolgen unter Berücksichtigung des Verhältnismäßigkeitsgrundsatzes im Regelfall zunächst durch Einholung von Selbstauskünften, Dokumentationen der technisch-organisatorischen Maßnahmen (Anlage 2) und Nachweisdokumenten. Soweit im begründeten Einzelfall (insbesondere bei konkreten Anhaltspunkten für einen Datenschutzverstoß oder auf behördliche Anforderung) eine weitergehende Überprüfung oder Vor-Ort-Inspektion erforderlich ist, ist diese mit einer angemessenen Vorankündigungsfrist von mindestens 30 Kalendertagen (außer bei Gefahr im Verzug oder einer abweichenden behördlichen Fristvorgabe) in Textform anzumelden und während der üblichen Geschäftszeiten ohne vermeidbare Störung des Betriebsablaufs sowie unter strikter Wahrung der Betriebs- und Geschäftsgeheimnisse von solook und des Datenschutzes anderer Kunden durchzuführen.

§ 12 Haftung, elektronische Vereinbarung und Schlussbestimmungen

(1) Für die Haftung der Parteien untereinander gelten die gesetzlichen Bestimmungen des Art. 82 DSGVO sowie ergänzend § 7 der Allgemeinen Geschäftsbedingungen (AGB 2026-10) von solook.

(2) Bei Widersprüchen zwischen den Bestimmungen dieses AVV und den Bestimmungen des Hauptvertrags (AGB) gehen in datenschutzrechtlichen Fragen im Anwendungsbereich der Auftragsverarbeitung die Regelungen dieses AVV vor.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist – soweit gesetzlich zulässig – der Geschäftssitz von solook (§ 9 Abs. 2 AGB).

(4) Gesonderte elektronische Vereinbarung gemäß Art. 28 Abs. 9 DSGVO:
Dieser AVV wird elektronisch durch ausdrückliche, gesonderte Bestätigung des Auftraggebers (bei der Registrierung, bei der Beauftragung des Einrichtungsservices oder im Kunden-Dashboard) vereinbart und mit Versionskennung (2026-10a), eindeutiger Dokumenten-Prüfsumme und Zeitpunkt des Abschlusses in den Vertrags- und Abschlussnachweisen dokumentiert. Frühere elektronisch vereinbarte Vertragsfassungen (insbesondere die Vorgängerfassung 2026-10) bleiben im unveränderbaren Vertragsarchiv revisionssicher erhalten.

Anlage 1: Beschreibung der Verarbeitung, Datenkategorien und betroffene Personen

1. Verarbeitete Datenkategorien:
   • Inhalte der veröffentlichten digitalen Speisekarte (Kategorien, Gerichte, Preise, Varianten, Allergene, Zusatzstoffe, Zutaten, Übersetzungen in Deutsch, Englisch und Türkisch), Restaurant-Logo und öffentliche Betriebsangaben (Name des Gastronomiebetriebs, Küchenrichtung, Anschrift, Telefonnummer, Website), soweit diese Personenbezug aufweisen (z. B. bei Einzelunternehmen oder Nennung/Abbildung von Personen).
   • Im Rahmen des Einrichtungsservices eingereichte Speisekartenvorlagen (z. B. PDF-, Bild-, Text- oder Office-Dateien) einschließlich etwaiger darin enthaltener Personenangaben oder Datei-Metadaten.
   • Technische Verbindungsdaten (Webserver-Logdateien bei ALL-INKL.COM) beim Abruf der öffentlichen Speisekarte.
2. Kategorien betroffener Personen:
   • Der Auftraggeber selbst (sofern Einzelunternehmer / natürliche Person) sowie dessen gesetzliche Vertreter und Ansprechpartner.
   • Beschäftigte des Auftraggebers oder sonstige Dritte, sofern deren Angaben in Speisekarten, Logos oder Vorlagen enthalten sind.
   • Gäste und Besucher der öffentlichen digitalen Speisekarte.

Anlage 2: Technisch-organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO – Zutritts-, Zugangs-, Zugriffs- und Trennungskontrolle):
   • Zutrittskontrolle (Rechenzentrum): Ausschließliches Hosting in zertifizierten deutschen Rechenzentren des Unterauftragsverarbeiters ALL-INKL.COM (Standort Dresden) mit physischer Zutrittssicherung, elektronischen Schließsystemen, 24/7-Überwachung und dokumentierten Zutrittsregelungen durch den Rechenzentrumsbetreiber.
   • Zugangskontrolle (Systeme und Konten): Speicherung von Kundenpasswörtern ausschließlich als nicht umkehrbare kryptografische Prüfwerte nach aktuellem Stand der Technik (Bcrypt); geschützte Sitzungs-Cookies für angemeldete Nutzer unter verschlüsselter HTTPS-Verbindung; Schutz vor automatisierten Anmeldeversuchen (Brute-Force-Schutz) durch serverseitiges Rate-Limiting; Absicherung administrativer Zugänge durch starke Authentifizierung (insbesondere Zwei-Faktor-Authentifizierung bzw. kryptografische Schlüsselverfahren auf Infrastruktur- und Verwaltungsebene), Protokollierung administrativer Zugriffe und sicherheitsrelevanter Aktionen im Verwaltungsbereich sowie Verpflichtung auf Vertraulichkeit und regelmäßige Sensibilisierung/Schulung der zur Bearbeitung befugten Personen.
   • Zugriffs- und Trennungskontrolle: Rollenbasierte Berechtigungsprüfung und strikte logische Mandantentrennung (jeder Auftraggeber kann im Dashboard ausschließlich seine eigenen Betriebs- und Speisekartendaten einsehen und bearbeiten); strikte Trennung von Kunden-Dashboard und Verwaltungsbereich; vollständige Sperrung interner Serverbereiche (insbesondere für eingereichte Speisekartenvorlagen, lokale Arbeitsdateien sowie Vertragsarchive) gegen direkten Zugriff aus dem öffentlichen Internet; ausschließlicher Abruf von Originaldateien über den geschützten Verwaltungsbereich ohne Versand als E-Mail-Anhang.
2. Integrität und Transportsicherheit (Art. 32 Abs. 1 lit. b DSGVO – Weitergabe- und Eingabekontrolle):
   • Weitergabekontrolle: Durchgehende Transportverschlüsselung sämtlicher Web- und Schnittstellenverbindungen mittels TLS/HTTPS; erzwungene Prüfung der Sicherheitszertifikate bei ausgehenden Serververbindungen.
   • Eingabe- und Manipulationsschutz: Durchgängige Absicherung sämtlicher Datenbankabfragen gegen Manipulationen (parametrisierte Abfragen); Absicherung sämtlicher zustandsändernder Formulare gegen untergeschobene Fremdanfragen (Sicherheits-Tokens); serverseitige Prüfung des tatsächlichen Dateityps und Begrenzung zulässiger Dateigrößen bei Uploads; dokumentierte und gegen nachträgliche Veränderung geschützte Freigabenachweise, unveränderbare Vertrags- und Abschlussnachweise für elektronische AVV-Vereinbarungen sowie ein kontrollierter administrativer Löschablauf für fällige Originaldateien mit Prüfung auf aktive Aufträge, Beweissicherungssperre (Legal Hold) und datensparsamen Löschprotokollen.
3. Verfügbarkeit, Belastbarkeit und rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO):
   • Redundante Stromversorgung, Klimatisierung, Brandschutz- und Netzwerkinfrastruktur im deutschen Rechenzentrum von ALL-INKL.COM; regelmäßige automatisierte Datensicherungen (Backups) der Datenbanken und Dateisysteme durch den Hosting-Dienstleister sowie ergänzende Sicherungsmechanismen zur raschen Wiederherstellung der Verfügbarkeit und des Zugangs zu den personenbezogenen Daten bei einem physischen oder technischen Zwischenfall; Schutz vor Überlastungsangriffen durch serverseitige Anfragelimitierung (Rate-Limiting) und ressourcenschonende Anwendungsarchitektur.
4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO):
   • Regelmäßige Überprüfung der eingesetzten Sicherheitsmechanismen, Zugriffsbeschränkungen, Löschfristen und Unterauftragsverarbeiter durch den Auftragnehmer; anlassbezogene und periodische Kontrolle der Funktionsfähigkeit der technischen Sperren für interne Verzeichnisse, der Integrität der aktiven Vertragstexte (automatische Prüfsumme vor jedem Vertragsabschluss) sowie zeitnahe Einspielung sicherheitsrelevanter Aktualisierungen.
5. Datenschutz durch Technikgestaltung und Voreinstellungen (Art. 25, Art. 32 Abs. 1 lit. a DSGVO):
   • Kein Sitzungs-Cookie und kein Tracking für anonyme Speisekartenbesucher; lokale Auslieferung sämtlicher Schriftarten und Skripte ohne externe Drittanbieter-Server; standardmäßig deaktivierte Suchmaschinen-Sofortmeldung für Kunden-Speisekarten (IndexNow nur bei aktivem Opt-in durch den Auftraggeber); Datenminimierung in den Freigabenachweisen; schlüsselbasierte Pseudonymisierung (HMAC-SHA-256) beim Rate-Limiting; eine Übermittlung von Speisekartendaten an Google Gemini findet derzeit nicht statt (die Funktion ist im aktuellen Betriebszustand deaktiviert), ergänzt um einen bereits lokal vorbereiteten Bereinigungs- und Schwärzungsablauf (Bildzuschnitt, dauerhafte Schwärzung durch vollständige Neuerzeugung der Bilddatei sowie restlose Entfernung von EXIF-, GPS- und Kommentar-Metadaten) für den Fall einer späteren geprüften Freischaltung.

Anlage 3: Liste der Unterauftragsverarbeiter

Aktiv eingesetzter Unterauftragsverarbeiter (Stand zum Marktstart)

1. ALL-INKL.COM – Neue Medien Münnich
   • Anschrift: Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland
   • Leistung / Funktion: Primäres Webhosting, MySQL-Datenbankbetrieb, Dateispeicherung und SMTP-E-Mail-Infrastruktur
   • Verarbeitungsstandort: Bundesrepublik Deutschland (Rechenzentrum Dresden)
   • Datenschutzrechtliche Grundlage: Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO abgeschlossen am 17.09.2026

(Weitere Unterauftragsverarbeiter werden zum Marktstart nicht eingesetzt.)

Hinweis zu derzeit nicht eingesetzten, künftig optionalen Diensten (Google Gemini)

Eine Übermittlung von Speisekartendaten an Google Gemini (Google Ireland Limited / Google LLC) findet derzeit nicht statt; die in der Software vorbereitete Funktion ist zum Marktstart deaktiviert und wird nicht als Unterauftragsverarbeiter eingesetzt. Es wird weder behauptet, dass ein Auftragsverarbeitungsvertrag (Google Cloud Data Processing Addendum / DPA) für diese Funktion bereits abgeschlossen noch dass die Prüfung der Garantien für Drittlandübermittlungen bereits abgeschlossen sei. Vor einer späteren Nutzung von Google Gemini mit personenbezogenen Kundendaten werden Vertragsgrundlage, Drittlandtransfers (Art. 44 ff. DSGVO), die vorherige Unterauftragsverarbeiter-Information gemäß § 7 Abs. 4 sowie gegebenenfalls eine Anpassung dieses AVV gesondert geprüft und durchgeführt.