Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Fassung vom 1. 11. 2026 · Drucken

1. Wer mit wem

Verantwortlicher: das Lokal, das sich auf mittagsmenues.info angemeldet hat (Name und Anschrift wie in der Verwaltung unter „Mein Lokal" eingetragen).
Auftragsverarbeiter: Hefti OG, Schillerstraße 53, 6700 Bludenz, Österreich.

2. Worum es geht

Der Auftragsverarbeiter betreibt die Plattform mittagsmenues.info. Dabei verarbeitet er im Auftrag des Lokals personenbezogene Daten der Personen, die das Lokal in seiner Verwaltung anlegt: Name, E-Mail-Adresse, Rolle und Anmeldezeitpunkte. Betroffene sind Inhaber, Mitarbeiter und Küche des Lokals.

Für die Daten der Gäste (Konten, gemerkte Lokale, Meldungen) ist der Auftragsverarbeiter selbst Verantwortlicher; sie sind nicht Gegenstand dieses Vertrags.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur, wie es der Betrieb der Plattform verlangt und das Lokal in der Verwaltung einstellt (Zugänge anlegen, Rollen, Erinnerungen). Weitere Weisungen erteilt das Lokal in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, sagt er das.

4. Vertraulichkeit und Sicherheit

Alle Personen, die beim Auftragsverarbeiter Zugriff haben, sind zur Vertraulichkeit verpflichtet. Technische und organisatorische Maßnahmen: Verschlüsselung der Übertragung (TLS), Passwörter nur als Hash, Zwei-Faktor und Passkeys für Konten, Zugriffsrechte je Rolle, tägliche Sicherung mit wöchentlicher Wiederherstellungsprobe, Ablage außer Haus, Protokoll der Verwaltungsvorgänge, Bremsen gegen automatisierte Anfragen, Sicherung der Programmdateien vor jedem Update.

5. Weitere Auftragsverarbeiter

Das Lokal erlaubt den Einsatz folgender Unterauftragnehmer: das Rechenzentrum, das die Plattform hostet (Deutschland); der E-Mail-Versand über den Hoster; und — nur wenn das Lokal den Kanal selbst verbindet — Meta (Instagram, Facebook). Änderungen kündigt der Auftragsverarbeiter in den Neuigkeiten der Verwaltung an; das Lokal kann binnen 14 Tagen widersprechen.

6. Unterstützung

Der Auftragsverarbeiter hilft dem Lokal, Anfragen Betroffener zu beantworten (Auskunft, Löschung), und meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 48 Stunden nach Kenntnis, mit allem, was er weiß.

7. Ende

Mit dem Ende der Nutzung löscht der Auftragsverarbeiter die Zugänge des Lokals und die zugehörigen Daten der Mitarbeiter binnen 30 Tagen — auf Wunsch früher, oder er gibt sie vorher als Export heraus. Sicherungen laufen nach 30 Tagen aus.

8. Nachweis

Das Lokal darf sich davon überzeugen, dass die Pflichten eingehalten werden — zunächst durch Auskunft, bei Bedarf durch eine Prüfung nach Ankündigung, während der Geschäftszeiten.

9. Abschluss

Dieser Vertrag gilt ab der Anmeldung des Lokals auf der Plattform, in der jeweils hier veröffentlichten Fassung. Er ersetzt keine Beratung; wer eine unterschriebene Fassung braucht, druckt diese Seite aus und schickt sie an mail@hefti.at — sie kommt unterschrieben zurück.