Auftragsverarbeitungsvertrag (AVV)
nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und der Foxtech UG (haftungsbeschränkt), handelnd unter Foxtech Digital, Guardinistr. 166, 81375 München, als Auftragsverarbeiter („Auftragnehmer“).
1. Gegenstand und Dauer
Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um den Bestellshop, die App, das Treueprogramm und die Marketingfunktionen von orderbell bereitzustellen. Die Dauer entspricht der Laufzeit des Hauptvertrags nach den AGB.
2. Art der Daten und betroffene Personen
Betroffen sind die Gäste des Auftraggebers. Verarbeitet werden Name, Anschrift, Telefonnummer, E-Mail-Adresse, Bestelldaten und Bestellhistorie, Treuepunkte, Einwilligungen in Werbung sowie Zahlungsinformationen in dem Umfang, den der Zahlungsdienstleister übermittelt.
3. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus dem Hauptvertrag und den Einstellungen, die der Auftraggeber im System vornimmt. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.
4. Vertraulichkeit
Alle Personen, die beim Auftragnehmer Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
5. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft geeignete Maßnahmen nach Art. 32 DSGVO, insbesondere verschlüsselte Übertragung (TLS), Zugriffsbeschränkung nach Rollen, Zwei-Faktor-Anmeldung für Administratoren, regelmäßige Datensicherung sowie Hosting in Rechenzentren mit anerkannten Sicherheitszertifizierungen. Die Maßnahmen des Plattformpartners gelten ergänzend und werden auf Anfrage bereitgestellt.
6. Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
Foodamigos GmbH, Am Hauptbahnhof 6, 53111 Bonn: Bereitstellung und Betrieb der Bestellplattform, einschließlich der von Foodamigos eingesetzten weiteren Unterauftragsverarbeiter gemäß deren aktueller Liste.
Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragnehmer vorab in Textform. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen.
7. Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen (Art. 15 bis 22 DSGVO), bei der Meldung von Datenschutzverletzungen sowie bei Datenschutz-Folgenabschätzungen, soweit erforderlich.
8. Meldung von Datenschutzverletzungen
Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
9. Löschung und Rückgabe
Nach Vertragsende gibt der Auftragnehmer die Daten auf Wunsch innerhalb von 30 Tagen heraus und löscht sie anschließend, soweit keine gesetzliche Aufbewahrungspflicht besteht.
10. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Pflichten nach Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen nach rechtzeitiger Ankündigung während der Geschäftszeiten.
11. Schlussbestimmungen
Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV in datenschutzrechtlichen Fragen vor. Es gilt deutsches Recht.
Stand: Oktober 2026