Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung zur Auftragsverarbeitung gilt, soweit Mazomenu personenbezogene Daten im Auftrag eines Geschäftskunden verarbeitet. Verantwortlicher im Sinne der DSGVO ist in diesen Fällen der jeweilige Geschäftskunde. Auftragsverarbeiter ist MAZOBit, Inhaber Mazlum Kaya, handelnd unter Mazomenu.com.

Nicht von dieser Auftragsverarbeitung erfasst sind Verarbeitungen, bei denen Mazomenu selbst Verantwortlicher ist, insbesondere die Verwaltung eigener Geschäftskundenkonten, Abrechnung, Sicherheit, Support, Missbrauchsprävention und zentrale Plattformverwaltung.

Gegenstand der Verarbeitung ist die technische Bereitstellung der Mazomenu-Plattform, insbesondere Hosting, Verwaltung und Veröffentlichung von digitalen Karten, Websites, Bestell-, Anfrage-, Portal-, Kundenkonto- und Treuefunktionen.

Die Dauer der Verarbeitung richtet sich nach dem zugrunde liegenden SaaS-Vertrag. Nach Vertragsende werden personenbezogene Daten nach Maßgabe der AGB, der Datenschutzerklärung, gesetzlicher Aufbewahrungspflichten und technisch erforderlicher Backup-Zyklen gelöscht oder zurückgegeben.

Die Verarbeitung umfasst insbesondere Speichern, Anzeigen, Übermitteln, Strukturieren, Bereitstellen, Ändern, Löschen, Sichern und Wiederherstellen personenbezogener Daten.

Zwecke sind insbesondere die technische Bereitstellung von Kunden-Websites, digitalen Karten, Bestell- oder Anfragefunktionen, Kundenportalen, QR-Code-Aufrufen, Support- und Sicherheitsfunktionen sowie die mandantenbezogene Verwaltung der Plattform.

Je nach Nutzung können insbesondere folgende Daten verarbeitet werden:

• Kontaktdaten von Endkunden, etwa Name, E-Mail-Adresse, Telefonnummer oder Lieferadresse,
• Bestell-, Anfrage-, Reservierungs-, Termin- oder Buchungsdaten,
• Kundenkonto-, Login-, Portal- und Treueprogrammdaten,
• Inhaltsdaten, die der Geschäftskunde oder dessen Endkunden bereitstellen,
• technische Nutzungs-, Protokoll-, Sicherheits- und Zugriffsdaten,
• Kommunikations- und Supportdaten, soweit sie einen Bezug zu Endkunden oder Nutzern haben.

Betroffene Personen können insbesondere sein:

• Endkunden, Gäste, Besucher oder Interessenten des Geschäftskunden,
• Nutzer von Kundenkonten, Bestell-, Portal- oder Treuefunktionen,
• Ansprechpartner und Mitarbeitende des Geschäftskunden,
• sonstige Personen, deren Daten durch den Geschäftskunden über die Plattform verarbeitet werden.

Mazomenu verarbeitet personenbezogene Daten im Anwendungsbereich dieser Vereinbarung nur auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht zur abweichenden Verarbeitung besteht.

Die Nutzung der Plattform, die Konfiguration im Dashboard, Supportanfragen und vertraglich vereinbarte Leistungen gelten als dokumentierte Weisungen, soweit sie sich auf die beauftragte Verarbeitung beziehen.

Mazomenu stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, zur Vertraulichkeit verpflichtet wurden oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen.

Mazomenu trifft angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Dazu gehören insbesondere:

• Zugriffsschutz auf Administrations- und Produktionssysteme,
• rollen- und mandantenbezogene Zugriffsbeschränkungen,
• Transportverschlüsselung über HTTPS/TLS,
• sichere Passwort- und Authentifizierungsmechanismen,
• Protokollierungs-, Sicherheits- und Missbrauchsschutzmaßnahmen,
• regelmäßige Backups nach internem Rotationskonzept,
• organisatorische Beschränkung des Zugriffs auf erforderliche Personen,
• Trennung von Kundenbereichen, soweit dies technisch vorgesehen ist,
• Verfahren zur Wiederherstellung der Verfügbarkeit nach technischen Störungen.

Die Maßnahmen können entsprechend technischer Entwicklung, Sicherheitslage und Plattformarchitektur angepasst werden, sofern das Schutzniveau nicht wesentlich abgesenkt wird.

Mazomenu darf Unterauftragsverarbeiter einsetzen, soweit dies für Bereitstellung, Sicherheit, Kommunikation, Abrechnung, Hosting, Domainverwaltung oder technische Plattformfunktionen erforderlich ist.

Je nach genutzter Funktion können insbesondere folgende Anbieter oder Anbietergruppen eingesetzt werden:

• Hetzner für Hosting und Infrastruktur,
• Supabase für Datenbank-, Authentifizierungs- oder Backend-Funktionen,
• Resend für transaktionale System-E-Mails,
• Stripe für Zahlungs- und Abrechnungsprozesse,
• Hostinger oder andere Domain-/DNS-Dienstleister für Domain- und DNS-Leistungen,
• Sicherheits-, Monitoring- oder Infrastruktur-Dienstleister, soweit erforderlich.

Mazomenu verpflichtet eingesetzte Unterauftragsverarbeiter im erforderlichen Umfang auf Datenschutz- und Sicherheitsanforderungen. Änderungen bei wesentlichen Unterauftragsverarbeitern werden dem Kunden in geeigneter Weise mitgeteilt oder zugänglich gemacht. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

Mazomenu unterstützt den Kunden im angemessenen Umfang bei der Erfüllung datenschutzrechtlicher Pflichten, soweit dies die durch Mazomenu erbrachte Auftragsverarbeitung betrifft. Dies gilt insbesondere für Betroffenenrechte, Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen und erforderliche Informationen zur Datenschutz-Folgenabschätzung.

Mazomenu informiert den Kunden unverzüglich, wenn Mazomenu eine Verletzung des Schutzes personenbezogener Daten feststellt, die Daten des Kunden im Rahmen der Auftragsverarbeitung betrifft.

Nach Ende des Vertragsverhältnisses löscht oder anonymisiert Mazomenu personenbezogene Daten nach Maßgabe der technischen Möglichkeiten, gesetzlichen Aufbewahrungspflichten und der jeweils geltenden Backup-Zyklen. Daten, die aufgrund gesetzlicher Pflichten, Abrechnungszwecke, Nachweisinteressen oder eigener Verantwortlichkeit weiter gespeichert werden müssen, bleiben hiervon unberührt.

Mazomenu stellt dem Kunden auf Anfrage angemessene Informationen zur Verfügung, die zur Prüfung der Einhaltung dieser Vereinbarung erforderlich sind. Vor-Ort-Kontrollen bedürfen einer vorherigen Abstimmung, eines berechtigten Interesses, angemessener Vertraulichkeit und dürfen den Betrieb von Mazomenu nicht unverhältnismäßig beeinträchtigen.

Diese Vereinbarung ist Bestandteil der vertraglichen Beziehung zwischen Mazomenu und dem Geschäftskunden, soweit eine Auftragsverarbeitung vorliegt. Bei Widersprüchen zwischen dieser Vereinbarung und sonstigen vertraglichen Regelungen gehen datenschutzrechtlich zwingende Vorgaben dieser Vereinbarung vor.