Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

zwischen dem Kunden (Betrieb, „Verantwortlicher“) und Lucksmith e.K., Untere Trift Straße 11, 56357 Bogel („Auftragsverarbeiter“).

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software hungryhumans. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung, Arten von Daten, Betroffene

• Betroffene: Gäste und Kunden des Betriebs (Website-Anfragen, Gutschein- und später Bestell- und Reservierungsdaten), Mitarbeitende des Betriebs.
• Daten: Kontaktdaten und Nachrichten aus Formularen, Kauf- und Zahlungsstatus (keine vollständigen Kartendaten), Kassenbelege, Rechnungsempfänger; bei Mitarbeitenden Stammdaten, Dienstplan, Arbeitszeiten, Abwesenheiten und Nachweise (z. B. Belehrung nach § 43 IfSG). [BETREIBER: Ergänzen, sobald Reservierung (ggf. freiwillige Allergie-Angaben der Gäste) und Bestellung freigeschaltet sind]
• Zweck: Website des Betriebs, Gutschein- und Online-Verkauf, Kasse, Buchhaltungsexport, Personalplanung, Kommunikation.

3. Weisungen und Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung, Vertraulichkeitsverpflichtung der Mitarbeitenden, Unterstützung bei Betroffenenrechten, Meldung von Datenschutzverletzungen unverzüglich, Löschung oder Rückgabe nach Vertragsende.

4. Technische und organisatorische Maßnahmen

• Hosting in Rechenzentren in Deutschland: eigener Kubernetes-Cluster von Lucksmith e.K. auf Servern der Hetzner Online GmbH, Rechenzentren in Deutschland
• Strikte Mandantentrennung in der Datenbank, verschlüsselte Übertragung (TLS).
• Feldweise Verschlüsselung von Zugangsdaten der Zahlungs- und TSE-Anbieter.
• Rollen- und Rechtekonzept; Support-Zugriffe zeitlich begrenzt und im Betrieb protokolliert, sensible Bereiche können für den Support vollständig gesperrt werden.
• Tägliche, verschlüsselte Sicherung an einem zweiten Standort.

5. Unterauftragsverarbeiter

[BETREIBER: Liste: Hosting, E-Mail-Versand, Cloud-TSE (fiskaly), Zahlungsdienstleister (soweit Auftragsverarbeitung)]

6. Kontrollrechte, Haftung

[BETREIBER: Regelungen zu Kontrollen/Audits, Haftung, Schlussbestimmungen]

Stand: [BETREIBER: Datum] · Version 2026-10