Auftragsverarbeitungsvertrag

Informative Übersetzung. Im Zweifelsfall gilt die spanische Fassung.

Artikel 28 der Verordnung (EU) 2016/679 (DSGVO) · Version 2026-10-01

1. Gegenstand

Der Verantwortliche beauftragt elpizzero mit der Verarbeitung personenbezogener Daten, die für die Erbringung der Dienste der Plattform erforderlich ist: digitale Speisekarte, Entgegennahme und Verwaltung von Bestellungen, Kasse (POS), Reservierungen, Benachrichtigungen, Rechnungsstellung und zugehörige Werkzeuge. elpizzero verarbeitet diese Daten ausschließlich im Auftrag und nach den dokumentierten Weisungen des Verantwortlichen.

2. Dauer

Dieser Vertrag gilt, solange zwischen den Parteien ein Dienstverhältnis besteht. Nach dessen Beendigung findet Klausel 9 (Rückgabe/Löschung) Anwendung.

3. Art, Zweck und verarbeitete Daten

• Kategorien betroffener Personen: Endkunden des Restaurants und gegebenenfalls Personal/Nutzer des Restaurants.
• Arten von Daten: Identifikations- und Kontaktdaten (Name, Telefon, E-Mail, Lieferadresse), Bestell- und Zahlungsdaten (vom Zahlungsdienstleister verwaltet) und Bestellhistorie. Besondere Kategorien werden nicht absichtlich verarbeitet.
• Zweck: ausschließlich die Erfüllung der vom Verantwortlichen beauftragten Dienste.

4. Pflichten von elpizzero (Auftragsverarbeiter)

1. Die Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch in Bezug auf internationale Übermittlungen, es sei denn, eine rechtliche Verpflichtung besteht. Ist elpizzero der Auffassung, dass eine Weisung gegen die DSGVO oder eine andere Datenschutzvorschrift verstößt, informiert es den Verantwortlichen unverzüglich (Art. 28 Abs. 3 DSGVO).
2. Die Vertraulichkeit zu gewährleisten und dafür zu sorgen, dass sich die befugten Personen dazu verpflichten.
3. Die geeigneten technischen und organisatorischen Maßnahmen anzuwenden (Art. 32 DSGVO): Verschlüsselung sensibler Zugangsdaten, rollenbasierte Zugriffskontrolle, Trennung der Daten zwischen Restaurants, verschlüsselte Sicherungskopien und Aktivitätsprotokollierung.
4. Den Verantwortlichen bei der Beantwortung von Anträgen auf Ausübung der Rechte der betroffenen Personen zu unterstützen (Auskunft, Berichtigung, Löschung, Widerspruch, Datenübertragbarkeit, Einschränkung).
5. Den Verantwortlichen bei der Einhaltung der Art. 32 bis 36 zu unterstützen (Sicherheit, Meldung von Verletzungen und Folgenabschätzungen).
6. Dem Verantwortlichen unverzüglich und spätestens 48 Stunden, nachdem es Kenntnis erlangt hat, eine Verletzung der Sicherheit, die seine Daten betrifft, zu melden, mit den erforderlichen Informationen, damit der Verantwortliche seiner Meldepflicht gegenüber der Behörde (72 h) und gegebenenfalls gegenüber den betroffenen Personen nachkommen kann.
7. Dem Verantwortlichen die erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung zu stellen und angemessene Überprüfungen zu ermöglichen.

5. Unterauftragsverarbeiter

📣 Am 2. Oktober 2026 mitgeteilte Änderungen, in Kraft ab 18. Oktober 2026: ipwho.is wird nicht mehr verwendet (die ungefähre Standortbestimmung der IP erfolgt nun auf unserem eigenen Server); die E-Mail wird von Hostinger bereitgestellt, das bereits als Unterauftragsverarbeiter aufgeführt ist; und die Dienste von OpenStreetMap werden auch für die Karten der Seite zur Bestellverfolgung verwendet. Außerdem hält Abschnitt 4 Ihre Weisung schriftlich fest, dass wir in Ihrem Namen die auf der Plattform eingegangenen Löschanträge Ihrer Kunden bearbeiten und dabei aufbewahren, was das Gesetz zu bewahren verpflichtet. Sie können vor diesem Datum widersprechen, indem Sie an privacidad@elpizzero.com schreiben (Art. 28 Abs. 2 DSGVO).

Der Verantwortliche genehmigt, dass elpizzero zur Erbringung des Dienstes die folgenden Unterauftragsverarbeiter heranzieht, wobei sich elpizzero verpflichtet, ihnen gleichwertige Datenschutzpflichten aufzuerlegen:

• Hostinger — Hosting und Infrastruktur (Server in der EU).
• Stripe — Zahlungsabwicklung (wenn das Restaurant sie mit eigenen Schlüsseln aktiviert).
• Anbieter von SMTP-E-Mail — Versand von Benachrichtigungen und Mitteilungen.
• OpenAI (Vereinigte Staaten) — Übersetzung der Speisekarte und der Anmerkungen, die der Kunde in seiner Bestellung schreibt, sowie Lesen von Speisekarten und Rechnungen; ohne Name, Telefon, E-Mail oder Adresse.
• Twilio (Vereinigte Staaten) — automatische Benachrichtigungsanrufe beim Restaurant, wenn aktiviert (Telefon des Restaurants).
• Telegram — Bestellbenachrichtigungen an das Restaurant, nur wenn der Verantwortliche sie aktiviert; sie enthalten nur die Nummer und den Betrag der Bestellung, keine Daten seiner Kunden (Telegram bietet keinen Auftragsverarbeitungsvertrag an, daher werden ihm keine anvertraut).
• hCaptcha · Intuition Machines (Vereinigte Staaten) — Schutz vor Bots in den öffentlichen Formularen (IP und Browserdaten).
• Dienste für Adresssuche und Routenberechnung auf Grundlage von OpenStreetMap (Nominatim, OSRM, openrouteservice) — Lieferadresse.
• Reparto — Logistikplattform für die letzte Meile (api.elpizzero.es), nur wenn der Verantwortliche die Integration «Reparto» aktiviert und sein eigenes Token bereitstellt. Von jeder Bestellung mit Lieferung nach Hause erhält sie das für die Ausführung der Lieferung Unerlässliche: Lieferadresse und Koordinaten, Kontakttelefon, einzuziehenden Betrag und Einzelheiten der Bestellung. Sie verarbeitet diese Daten ausschließlich im Auftrag des Verantwortlichen und unterliegt Pflichten, die denen dieses Vertrags gleichwertig sind. Löschung: Wenn der Verantwortliche die Löschung der Daten eines Kunden anordnet, wird die Anweisung automatisch an Reparto weitergegeben, das Adresse, Koordinaten, Telefon, Anmerkungen und Einzelheiten der Bestellung löscht und nur nicht identifizierende Betriebsdaten (Status, Daten und Beträge) aufbewahrt.

Die aktuelle Liste ist verfügbar und wird in diesem Dokument aktualisiert. elpizzero informiert über Wechsel von Unterauftragsverarbeitern und gibt dem Verantwortlichen die Möglichkeit zum Widerspruch.

Keine Unterauftragsverarbeiter sind Werkzeuge von Dritten, die der Verantwortliche mit seinem eigenen Konto in seiner Speisekarte aktivieren möchte (zum Beispiel der Meta-Pixel, der nur geladen wird, wenn der Kunde Marketing-Cookies akzeptiert): Dieser Anbieter verarbeitet die Daten als gemeinsam Verantwortlicher mit dem Verantwortlichen und nicht im Auftrag von elpizzero (Urteil des Gerichtshofs der EU vom 29. Juli 2019, Fashion ID, Rechtssache C-40/17).

5 bis. Einsatz künstlicher Intelligenz

Einige Funktionen der Plattform nutzen Dienste der künstlichen Intelligenz (derzeit OpenAI, USA, mit angemessenen Garantien für die Übermittlung) für: das Einlesen von Speisekarten/Menüs (Extraktion von Kategorien und Produkten aus Fotos oder PDFs des Restaurants), das Einlesen von Lieferantenrechnungen (Buchhaltung und Inventar), die Übersetzung der Speisekarte und von Texten in andere Sprachen sowie die Inventarerkennung und die Erstellung unterstützender Inhalte.

Es wird nur der erforderliche Inhalt gesendet, und Daten von Endkunden werden nicht absichtlich gesendet; gelegentlich könnte eine Übersetzung einen vom Kunden geschriebenen Freitext enthalten (z. B. eine Anmerkung zur Bestellung). Der Verantwortliche genehmigt diese Verarbeitung durch KI mit der Annahme dieses Vertrags und verpflichtet sich, in diese Funktionen keine unnötigen personenbezogenen Daten einzugeben. Jede Funktion, die KI nutzt, ist im Bedienfeld als solche gekennzeichnet, gemäß den Transparenzgrundsätzen (einschließlich der Verordnung (EU) 2024/1689 über KI).

6. Pflichten des Verantwortlichen (Restaurant)

• Die Rechtsgrundlage der von ihm beauftragten Verarbeitungen und die Information der betroffenen Personen zu gewährleisten.
• Über eine eigene Datenschutzerklärung und eine korrekte steuerliche Identifikation in seinem Profil zu verfügen.
• Keine besonderen Kategorien von Daten ohne geeignete Grundlage in die Plattform einzugeben.

7. Speicherort der Daten und Übermittlungen

Die Daten werden auf Servern in der Europäischen Union gehostet. Sollte ein Unterauftragsverarbeiter eine internationale Übermittlung mit sich bringen, erfolgt diese mit den Garantien von Kapitel V der DSGVO (Angemessenheitsbeschluss oder Standardvertragsklauseln).

8. Sicherheitsverletzungen

Im Falle einer Verletzung der Datensicherheit folgt elpizzero seinem Reaktionsprotokoll und meldet dies dem Verantwortlichen gemäß Klausel 4.6, damit dieser Art. 33 DSGVO erfüllen kann (Meldung an die Aufsichtsbehörde innerhalb von 72 h, soweit erforderlich).

9. Rückgabe oder Löschung bei Beendigung

Nach Beendigung des Dienstes wird elpizzero nach Wahl des Verantwortlichen die in seinem Auftrag verarbeiteten personenbezogenen Daten sowie die vorhandenen Kopien zurückgeben oder löschen, es sei denn, es besteht eine gesetzliche Aufbewahrungspflicht.

10. Haftung und anwendbares Recht

Jede Partei haftet für die Verletzung ihrer Pflichten gemäß der DSGVO und dem Organgesetz 3/2018 (LOPDGDD). Dieser Vertrag unterliegt spanischem und EU-Recht.

Die Annahme dieses Vertrags wird bei der Anmeldung oder bei der Annahme im Bedienfeld mit Datum, Version und IP-Adresse erfasst. Letzte Aktualisierung: 2026-10-01.