Auftragsverarbeitungsvertrag (AVV)

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO. Stand: 21.10.2026

§ 1 Parteien und Gegenstand

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und Du First, Inhaber: Hamid Hekmat, Klosterstraße 20, 40211 Düsseldorf als Auftragsverarbeiter („Auftragnehmer“). Er ist Bestandteil des Vertrags über die Nutzung von Wirtivo nach den AGB und gilt für dessen Laufzeit.

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftraggeber in Wirtivo erfasst oder über Wirtivo entgegennimmt, insbesondere für Reservierungen, Warteliste, Gästeverwaltung und die Restaurant-Website.

§ 2 Art der Daten und betroffene Personen

• Betroffene: Gäste und Interessenten des Auftraggebers sowie seine Mitarbeitenden, die Wirtivo nutzen.
• Daten: Name, Kontaktdaten (E-Mail, Telefon), Reservierungs- und Wartelistendaten (Datum, Uhrzeit, Personenzahl, Tisch, Anmerkungen), Besuchshistorie, vom Gast angegebene Vorlieben und Allergien, Einwilligungen sowie Zugangs- und Protokolldaten der Mitarbeitenden.

§ 3 Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind die Nutzung und Einstellungen der Software sowie Anweisungen in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft angemessene Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Betrieb auf einem eigenen Server in Deutschland; verschlüsselte Übertragung (HTTPS/TLS).
• Trennung der Daten verschiedener Kunden auf Datenbankebene (mandantengetrennte Zugriffe).
• Zugriff nur mit persönlichem Konto und Rollenrechten; Passwörter werden nur als Hash gespeichert.
• Regelmäßige Datensicherung und Prüfung der Wiederherstellung.
• Protokollierung sicherheitsrelevanter Vorgänge und zeitnahe Einspielung von Sicherheitsupdates.

Der Auftragnehmer darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz von Unterauftragsverarbeitern zu, soweit sie für den Betrieb erforderlich sind (etwa Hosting- oder E-Mail-Dienstleister). Der Auftragnehmer informiert den Auftraggeber vorab über neue Unterauftragsverarbeiter; der Auftraggeber kann aus wichtigem datenschutzrechtlichen Grund widersprechen. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten. Eine Verarbeitung außerhalb der EU oder des EWR erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 7 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Rechte der betroffenen Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit); Wirtivo bietet dafür Funktionen zum Export und zum Löschen von Gästedaten. Er unterstützt den Auftraggeber außerdem bei den Pflichten nach Art. 32 bis 36 DSGVO.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, mit den Angaben, die der Auftraggeber für seine Meldung nach Art. 33 DSGVO benötigt.

§ 9 Löschung und Rückgabe

Nach Vertragsende stellt der Auftragnehmer die Daten 30 Tage zum Export bereit und löscht sie danach, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden im Rahmen ihres regulären Zyklus überschrieben.

§ 10 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglicht Überprüfungen nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten.

§ 11 Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht; Gerichtsstand ist Düsseldorf. Kontakt in Datenschutzfragen: info@dufirst.de.