Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 DSGVO
Zwischen dem Kunden („Verantwortlicher") und Emil Oscar Kam-Sing Senkel, Dortmunder Straße 12, 10555 Berlin („Auftragsverarbeiter") wird mit Abschluss des Hauptvertrags über die Nutzung von Clever Table folgender Vertrag zur Auftragsverarbeitung geschlossen:
§ 1 Gegenstand und Dauer
(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS-Plattform „Clever Table" (KI-Telefon-Agent, Reservierungs- und Gästemanagement, WhatsApp- und E-Mail-Kommunikation).
(2) Dieser AVV beginnt mit Abschluss des Hauptvertrags und endet mit dessen Beendigung.
§ 2 Art und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zum Zweck der Erbringung der vertraglich vereinbarten Leistungen, insbesondere:
- Annahme und Bearbeitung von Telefonanrufen mittels KI-Sprachagent
- Speicherung von Anrufaufzeichnungen, Transkripten und Anrufmetadaten
- Erstellung, Speicherung und Verwaltung von Reservierungen, Catering-Anfragen und Gästekontakten
- Versand und Empfang von WhatsApp- und E-Mail-Nachrichten an Gäste des Verantwortlichen
- Bereitstellung von Analyse-, Such- und Verwaltungsfunktionen für den Verantwortlichen
§ 3 Art der Daten und Kategorien betroffener Personen
Verarbeitet werden insbesondere:
| Datenart | Beispiele |
|---|---|
| Stammdaten | Name, Telefonnummer, E-Mail-Adresse der Gäste |
| Kommunikationsdaten | Anrufaufzeichnungen, Transkripte, WhatsApp- und E-Mail-Inhalte |
| Reservierungsdaten | Datum, Uhrzeit, Personenzahl, Tischpräferenz, Anlass, Allergien (falls angegeben) |
| Metadaten | Anrufzeitpunkt, Dauer, gewählte Sprache |
Kategorien betroffener Personen: Gäste und potenzielle Gäste des Verantwortlichen sowie Mitarbeiter, die den Dienst auf Kundenseite nutzen.
§ 4 Weisungsrecht des Verantwortlichen
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Der Hauptvertrag und dieser AVV gelten als grundlegende Weisung; weitere Weisungen sind durch Konfiguration in der Software, per E-Mail oder Ticket-System möglich.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt.
§ 5 Pflichten des Auftragsverarbeiters
- Verarbeitung der Daten ausschließlich im Rahmen des Auftrags;
- Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO);
- Umsetzung geeigneter technischer und organisatorischer Maßnahmen (siehe Anlage „TOM");
- Unterstützung des Verantwortlichen bei der Wahrnehmung der Rechte betroffener Personen (Art. 12-22 DSGVO);
- Unterstützung bei Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden;
- unverzügliche Meldung von Datenschutzverletzungen (innerhalb von 24 Stunden ab Kenntnis);
- Benennung eines Ansprechpartners für Datenschutz: [email protected].
§ 6 Technische und organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter trifft folgende Maßnahmen gemäß Art. 32 DSGVO:
- Zutrittskontrolle: Rechenzentren mit Zutrittsbeschränkungen, Videoüberwachung, Zwei-Faktor-Zugang.
- Zugangskontrolle: Passwortrichtlinien, Zwei-Faktor-Authentifizierung für Mitarbeiter-Konten, individuelle Benutzerkonten.
- Zugriffskontrolle: Rollenbasierte Berechtigungen, Mandantentrennung auf Datenbankebene, Audit-Logs.
- Weitergabekontrolle: TLS-Verschlüsselung sämtlicher Verbindungen, Verschlüsselung sensibler Daten auf Datenbankebene (z. B. Gäste-Telefonnummern).
- Eingabekontrolle: Protokollierung schreibender Operationen im Audit-Log.
- Auftragskontrolle: AVV mit allen Sub-Auftragsverarbeitern, regelmäßige Prüfung.
- Verfügbarkeitskontrolle: Tägliche Backups, redundante Infrastruktur, dokumentierte Wiederanlaufprozeduren.
- Trennungskontrolle: Logische Mandantentrennung über Business-ID auf allen Ebenen.
§ 7 Sub-Auftragsverarbeiter
(1) Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Heranziehung der nachfolgend aufgeführten Sub-Auftragsverarbeiter:
| Sub-Auftragsverarbeiter | Leistung | Sitz |
|---|---|---|
| Stripe Payments Europe Ltd. | Zahlungsabwicklung | Irland (EU) |
| Twilio Ireland Ltd. | Telefonie, SMS, WhatsApp | Irland (EU) |
| xAI Corp. | KI-Sprachmodell, Transkription | USA - Standardvertragsklauseln |
| Cloudflare Inc. | CDN, Bot-/DDoS-Schutz | USA / EU-Endpoints |
| Vercel Inc. | Hosting der Website | USA - Standardvertragsklauseln |
| Eigenbetrieb des Anbieters, abgesichert über Cloudflare Tunnel | Datenbank und API-Server | Berlin, Deutschland |
| Google Ireland Ltd. (Google Workspace / Gmail) | Versand transaktionaler E-Mails | Irland (EU) |
(2) Beabsichtigt der Auftragsverarbeiter, einen weiteren Sub-Auftragsverarbeiter heranzuziehen oder einen bestehenden zu ersetzen, informiert er den Verantwortlichen mit einer Frist von mindestens 30 Tagen. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen.
§ 8 Rechte der betroffenen Personen
Wenden sich betroffene Personen direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und unterstützt ihn bei der Beantwortung. Eine eigenständige Beantwortung erfolgt nur nach ausdrücklicher Weisung des Verantwortlichen.
§ 9 Kontroll- und Auditrechte
Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags durch Anforderung schriftlicher Auskünfte sowie - nach Vereinbarung und während üblicher Geschäftszeiten - durch Inspektion der relevanten Räumlichkeiten und Systeme zu überprüfen. Der Auftragsverarbeiter kann hierfür unabhängige Zertifizierungen oder Prüfberichte (z. B. ISO 27001, SOC 2) der eingesetzten Sub-Auftragsverarbeiter vorlegen.
§ 10 Löschung und Rückgabe nach Vertragsende
Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche personenbezogene Daten des Verantwortlichen innerhalb von 30 Tagen, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen. Auf Wunsch werden die Daten zuvor in einem strukturierten, gängigen Format (z. B. JSON, CSV) zur Verfügung gestellt.
§ 11 Schlussbestimmungen
Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht. Im Übrigen gelten die Regelungen des Hauptvertrags und der AGB ergänzend.
Stand: Juni 2026