Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Carta verarbeitet personenbezogene Daten zur Bereitstellung, Speicherung, Bearbeitung, Übersetzung, Veröffentlichung, Sicherung und zum Export digitaler Speisekarten für die Dauer des Hauptvertrags einschließlich Exit- und Löschphase.

• Stammdaten und Kontaktdaten von Restaurantbetreibern und Ansprechpartnern
• Benutzer-, Rollen-, Authentifizierungs- und Freigabedaten
• Restaurant-, Menü-, Bild-, Übersetzungs- und Freitextdaten
• Nutzungsereignisse und technische Metadaten
• Betroffene: Beschäftigte, Ansprechpartner, Restaurantgäste und abgebildete Personen
• Besondere Kategorien und Strafdaten sind ohne Zusatzvereinbarung ausgeschlossen

Carta verarbeitet nur auf dokumentierte Weisung, einschließlich hinsichtlich Drittlandtransfers, soweit keine gesetzliche Pflicht entgegensteht. Rechtswidrig erscheinende Weisungen werden unverzüglich mitgeteilt und bis zur Klärung ausgesetzt, soweit erforderlich.

Zugriffsberechtigte Personen werden auf Vertraulichkeit verpflichtet, nach dem Need-to-know-Prinzip berechtigt und angemessen unterwiesen.

• TLS-verschlüsselte Übertragung
• rollenbasierte Authentifizierung und Mandantentrennung durch Datenbankrichtlinien
• private Dateispeicher und kontrollierte Medienauslieferung
• Schlüssel und Geheimnisse nur in geschützter Umgebungsverwaltung
• Protokollierung von Veröffentlichungen und administrativen Löschvorgängen
• Patch- und Abhängigkeitsmanagement
• Rate-Limits und Missbrauchsabwehr
• geregelte Lösch- und Exportprozesse
• vor Produktivstart: regelmäßige Backups, Wiederherstellungstests, Incident-Response und periodische TOM-Prüfung

Der Kunde erteilt eine allgemeine Genehmigung für die nachstehend genannten Anbieter. Carta informiert mindestens 14 Tage vor einer wesentlichen Hinzunahme oder Ersetzung und ermöglicht einen begründeten datenschutzrechtlichen Widerspruch. Carta legt Unterauftragnehmern gleichwertige Pflichten auf und bleibt verantwortlich.

• Vercel Inc. – Hosting, Edge-Auslieferung und Logs
• Supabase, Inc. – Datenbank, Authentifizierung und Dateispeicher; erwartete Region Zürich, Schweiz, noch zu bestätigen
• Anthropic, PBC – KI-Extraktion, Übersetzung und Assistent; USA
• Resend, Inc. – Versand von Anmeldecodes; USA

Übermittlungen außerhalb EU/EWR erfolgen nur bei erfülltem Kapitel V DSGVO, insbesondere aufgrund Angemessenheitsbeschluss, wirksamer EU-US-DPF-Zertifizierung oder Standardvertragsklauseln einschließlich erforderlicher Transferprüfung und ergänzender Maßnahmen. Die Schweiz gilt bei wirksamem Angemessenheitsbeschluss als angemessenes Drittland.

Carta leitet unmittelbar eingehende Anträge unverzüglich an den Kunden weiter und unterstützt mit geeigneten technischen und organisatorischen Maßnahmen. Carta beantwortet Anträge nicht selbst, soweit keine eigene Verantwortlichkeit oder Weisung besteht.

Carta unterstützt risikoadäquat bei Sicherheit, Verletzungsmeldungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Verletzungen des Schutzes von Auftragsdaten werden dem Kunden unverzüglich mit den verfügbaren Pflichtinformationen gemeldet.

Nach Vertragsende stellt Carta Daten nach Wahl des Kunden bereit und löscht sie nach der Exit-Anlage. Die Übergangsphase beträgt höchstens 30 Kalendertage, danach besteht ein Abrufzeitraum von mindestens 30 Kalendertagen. Backups werden nach Einrichtung des Backup-Systems innerhalb von höchstens weiteren 90 Tagen überschrieben, soweit keine Aufbewahrungspflicht besteht.

Carta stellt erforderliche Informationen, aktuelle TOM, Unterauftragnehmer- und Transferinformationen bereit. Audits erfolgen nach angemessener Vorankündigung, grundsätzlich einmal jährlich, unter Vertraulichkeit und ohne unverhältnismäßige Betriebsbeeinträchtigung. Anlassbezogene Prüfungen bei Datenschutzvorfällen bleiben möglich. Eigene Kosten trägt jede Partei; vom Kunden verursachte externe Sonderkosten werden nur nach vorheriger Vereinbarung berechnet.

Der Kunde gewährleistet Rechtmäßigkeit, Transparenz und Weisungen, minimiert Daten, verwaltet Nutzerrechte und erfüllt Betroffenenpflichten. Er stellt keine ausgeschlossenen Daten ein und informiert Carta über besondere Risiken.

Bei Widerspruch zu den AGB geht dieser AVV für datenschutzrechtliche Auftragsverarbeitung vor. Haftung richtet sich im gesetzlich zulässigen Umfang nach dem Hauptvertrag; zwingende Art. 82 DSGVO-Rechte bleiben unberührt.