Rechtliches

Auftrags­verarbeitungs­vertrag

Bedingungen für die Verarbeitung personenbezogener Daten des Restaurants (Verantwortlicher) durch Qungry (Auftragsverarbeiter) — Art. 28 EU-DSGVO und UK GDPR.

Zuletzt aktualisiert: 10. November 2026

1. Geltungsbereich und Parteien

Dieser Auftrags­verarbeitungs­vertrag („AVV“) ist fester Bestandteil der Nutzungs­bedingungen und tritt zwischen dem Betrieb, der Qungry abonniert („Kunde“, Verantwortlicher), und Ae Telecom („Qungry“, Auftragsverarbeiter) mit dem Tag der Annahme der Nutzungs­bedingungen in Kraft.

Der AVV gilt für personenbezogene Daten, die Qungry bei der Erbringung des Dienstes im Auftrag des Kunden verarbeitet. Bei Widersprüchen zwischen den Nutzungs­bedingungen und diesem AVV hinsichtlich personenbezogener Daten hat der AVV Vorrang.

2. Einzelheiten der Verarbeitung

  • Gegenstand und Zweck: Bereitstellung, Support und Absicherung der Restaurant-Managementsoftware (Kasse, Bestellungen, Lieferung, QR-Menü, Bestellseite, Reservierungen, Berichte, mobile Apps und Integrationen).
  • Dauer: Für die Laufzeit der Nutzungs­bedingungen und nach deren Ende für die Aufbewahrungsfrist nach Ziffer 11 der Nutzungs­bedingungen.
  • Betroffene Personen: Gäste und Kunden des Kunden, Personal (Bedienungen, Kassierer, Fahrer, Leitung), Lieferanten und sonstige Geschäftskontakte.
  • Datenkategorien: Vollständiger Name, Telefon, E-Mail, Lieferadresse, Bestellinhalte und -notizen, Bestell- und Zahlungsaufzeichnungen (ohne Kartendaten), Treuepunkte und Gutscheinnutzung, Reservierungsangaben, Bewertungen und Rezensionen, Personaldaten (Name, Rolle, gehashte PIN, Arbeitsaufzeichnungen, Kassenvorgänge, Verteilung von Trinkgeld und Servicezuschlag), Standortdaten der Fahrer (Breitengrad, Längengrad, Genauigkeit und Uhrzeit; nur der letzte Standort, während der Fahrer eine Bestellung ausliefert), Geräte- und Sitzungsaufzeichnungen.
  • Besondere Kategorien von Daten: Der Dienst ist nicht für die Verarbeitung besonderer Kategorien von Daten ausgelegt. Allergie- oder Ernährungsangaben eines Gastes in Bestellnotizen können als Gesundheitsdaten gelten; der Kunde stellt sicher, dass solche Angaben nur soweit für die Zubereitung der Bestellung nötig erfasst werden.

3. Pflichten von Qungry

Qungry

  1. verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden. Als Weisungen gelten die Nutzungs­bedingungen, dieser AVV und die Einstellungen, die der Kunde im Dienst vornimmt (z. B. das Anbinden einer Integration). Ist Qungry der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert es den Kunden.
  2. stellt sicher, dass Personen mit Datenzugriff zur Vertraulichkeit verpflichtet sind, und beschränkt den Zugriff auf die für die Aufgabe nötigen Personen und den nötigen Umfang. Auf das Konto eines Restaurants wird für Support nur auf Wunsch des Kunden oder soweit für Sicherheit oder Fehlerbehebung nötig zugegriffen.
  3. wendet die in Anlage 1 beschriebenen technischen und organisatorischen Sicherheitsmaßnahmen an.
  4. nutzt die Daten nicht für eigene Zwecke, verkauft sie nicht und verarbeitet sie nicht für Werbung.
  5. unterstützt den Kunden in angemessenem Umfang bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Übertragbarkeit usw.) und leitet direkt eingehende Anfragen unverzüglich an den Kunden weiter.
  6. unterstützt den Kunden bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörden unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen.

4. Unterauftrags­verarbeiter

  • Der Kunde erteilt Qungry die allgemeine Genehmigung, die auf der Seite Unterauftrags­verarbeiter aufgeführten Dienstleister einzusetzen.
  • Qungry aktualisiert die Liste und informiert den Kunden mindestens 30 Tage vor Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail oder im Verwaltungsbereich. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Finden die Parteien keine Lösung, kann der Kunde den betroffenen Dienst kündigen, und das Entgelt für den nicht genutzten Zeitraum wird erstattet.
  • Qungry schließt mit Unterauftragsverarbeitern schriftliche Verträge, die im Wesentlichen denselben Schutz wie die Pflichten aus diesem AVV bieten, und haftet gegenüber dem Kunden für die Pflichten der Unterauftrags­verarbeiter.
  • Vom Kunden angebundene Dienste: Lieferplattformen (Uber Eats, Just Eat, Deliveroo), Zahlungs- und Kartenterminalanbieter (Stripe, SumUp) und ähnliche Dienste, die der Kunde mit eigenem Konto anbindet, sind keine Unterauftrags­verarbeiter von Qungry. Das Verhältnis zu ihnen regelt der eigene Vertrag des Kunden; Qungry sendet nur auf Weisung des Kunden Daten an diese Dienste oder empfängt sie von ihnen.

5. Internationale Übermittlungen

Personenbezogene Daten werden in Frankreich gehostet; Sicherungen werden in den Niederlanden aufbewahrt. Werden Daten außerhalb des Europäischen Wirtschaftsraums oder des Vereinigten Königreichs in ein Land ohne Angemessenheitsbeschluss übermittelt, stützt sich Qungry auf geeignete Garantien wie die Standardvertragsklauseln der Europäischen Kommission (2021/914) und das UK International Data Transfer Addendum (IDTA / Addendum) und ergreift bei Bedarf zusätzliche Maßnahmen.

Das Support- und Entwicklungsteam von Qungry sitzt in der Türkei; der Zugriff des Teams auf Daten auf den Servern gilt als Übermittlung im Sinne dieser Klausel und unterliegt denselben Garantien.

6. Verletzungen des Schutzes personenbezogener Daten

Erlangt Qungry Kenntnis von einer Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, informiert es den Kunden unverzüglich, spätestens innerhalb von 48 Stunden. Die Meldung enthält, sobald die Informationen vorliegen, die Art der Verletzung, die Kategorien der Daten und die ungefähre Zahl der Betroffenen, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und einen Ansprechpartner. Qungry ergreift die nötigen Maßnahmen zur Eindämmung der Folgen und unterstützt den Kunden bei seiner Pflicht, die Behörde und die Betroffenen zu benachrichtigen.

7. Rückgabe und Löschung der Daten bei Vertragsende

Enden die Nutzungs­bedingungen, exportiert Qungry die Daten auf Wunsch des Kunden innerhalb der Aufbewahrungsfrist in einem gängigen Format (z. B. CSV / JSON) und löscht die Daten am Ende dieser Frist. Kopien in Sicherungen werden im normalen Sicherungszyklus gelöscht. Daten, deren Aufbewahrung gesetzlich vorgeschrieben ist, werden nur für diese Pflicht und für deren Dauer aufbewahrt.

8. Informationen und Kontrollen

Qungry stellt auf schriftliche Anfrage des Kunden Informationen bereit, die die Einhaltung dieses AVV belegen. Reichen diese Informationen nicht aus, kann der Kunde selbst oder durch einen unabhängigen Prüfer eine Kontrolle durchführen, sofern er dies mindestens 30 Tage im Voraus ankündigt, höchstens einmal jährlich, während der Geschäftszeiten und unter Wahrung der Vertraulichkeit. Die Kosten der Kontrolle trägt der Kunde, sofern kein wesentlicher Verstoß von Qungry festgestellt wird.

9. Pflichten des Kunden

Der Kunde bestätigt, dass er die Daten auf einer rechtmäßigen Grundlage erhebt, dass er die betroffenen Personen (Gäste, Personal) wie erforderlich informiert hat (z. B. durch eine Datenschutz­erklärung auf seiner Bestellseite) und dass seine Weisungen an Qungry rechtskonform sind.

Wird die Kurier-App genutzt, liegt es in der Verantwortung des Kunden, die Rechtsgrundlage für die Standortverfolgung festzulegen, die Fahrer vorab zu informieren und arbeitsrechtliche Pflichten zu erfüllen (z. B. die Zustimmung der Arbeitnehmervertretung in Ländern, in denen dies vorgeschrieben ist).

10. Haftung und Laufzeit

Die Haftung aus diesem AVV unterliegt den Haftungsbestimmungen der Nutzungs­bedingungen, mit Ausnahme von Haftungen, deren Begrenzung gesetzlich nicht zulässig ist. Der AVV bleibt in Kraft, solange Qungry personenbezogene Daten im Auftrag des Kunden verarbeitet.

Anlage 1 — Technische und organisatorische Sicherheitsmaßnahmen

  • Verschlüsselung: HTTPS/TLS bei allen Verbindungen; API-Schlüssel, Schlüssel von Zahlungsanbietern und gespeicherte Kartentoken verschlüsselt in der Datenbank; Passwörter und PIN-Codes per Einweg-Hash gespeichert.
  • Datentrennung: Die Daten jedes Restaurants werden in einer eigenen Datenbank gespeichert.
  • Zugriffskontrolle: Rollen- und rechtebasierter Zugriff; Rechte pro Filiale; Kassen- und Bedienungsgeräte werden über einen Registrierungsschlüssel erkannt; zeitliche Begrenzung von Sitzungen.
  • Zahlungsdaten: Kartennummern werden auf den Servern von Qungry nie verarbeitet oder gespeichert; Zahlungen erfolgen über die sichere Seite oder das Terminal des Anbieters.
  • Missbrauchsschutz: Ratenbegrenzung bei Anmeldung und öffentlichen Formularen, Schutz vor Cross-Site Request Forgery (CSRF), Signaturprüfung bei Plattform-Benachrichtigungen.
  • Sicherung und Kontinuität: Tägliche automatische Sicherungen; die Sicherungen werden verschlüsselt 30 Tage lang im Rechenzentrum von Backblaze in Amsterdam (Niederlande) aufbewahrt; Offline-Betrieb an der Kasse bei Internetausfällen.
  • Überwachung: Protokollierung und Überwachung von Fehlern und Sicherheitsereignissen; personenbezogene Daten werden so weit wie möglich aus Fehlerprotokollen herausgehalten.
  • Personal: Vertraulichkeitsverpflichtungen, Prinzip der minimalen Rechte, Entzug des Zugriffs bei Ende der Tätigkeit.
  • Entwicklung: Regelmäßiges Einspielen von Sicherheitsupdates und Testen von Änderungen.