Vertrag zur Auftrags­verarbeitung

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch die Visito GmbH, Ulmer Straße 34, 73728 Esslingen am Neckar („visito“, Auftragsverarbeiter) im Auftrag des Partnerbetriebs („Auftraggeber“, Verantwortlicher) nach Art. 28 DSGVO.

Er ist Bestandteil des Vertrags über die Nutzung der Plattform visito nach den AGB einschließlich gebuchter Zusatzmodule wie dem Voice-Agenten („Hauptvertrag“). Er wird mit dem Hauptvertrag in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO).

Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB und der Leistungsbeschreibung Voice-Agent vor.

Die Laufzeit richtet sich nach dem Hauptvertrag. Regelungen, die ihrer Natur nach über das Vertragsende hinaus wirken, insbesondere Ziffer 10, gelten fort.

visito verarbeitet personenbezogene Daten ausschließlich, um die im Hauptvertrag vereinbarten Leistungen zu erbringen, also die Plattform bereitzustellen, zu betreiben, zu warten und den Auftraggeber zu unterstützen.

Je nach genutzten Funktionen verarbeitet visito insbesondere folgende Daten:

• Reservierungen und Gästedatenbank: Name, Telefonnummer, E-Mail-Adresse, Datum, Uhrzeit, Personenzahl, Bereich, Anmerkungen und Wünsche, Besuchsstatus und Besuchshistorie

• Kommunikation mit Gästen: E-Mail-Adresse sowie Inhalt und Versandstatus von Bestätigungs-, Erinnerungs- und Feedback-Mails; Newsletter-Einwilligungen mit Wortlaut, Zeitpunkt, Quelle und IP-Adresse

• Digitale Stempelkarte, Wallet-Karten und Gutscheine: Vorname, Kennung der Karte, Stempel und Einlösungen

• Digitale Bestellungen: Bestellinhalte, Tisch und Zeitpunkt

• Feedback: Bewertungen und Kommentare von Gästen

• Voice-Agent: Daten der Anrufer nach Ziffer 11

• Nutzerkonten: Name, E-Mail-Adresse und Rolle von Beschäftigten, die der Auftraggeber in visito anlegt

Betroffen sind Gäste und Interessenten des Auftraggebers, Anrufer, Empfänger von Newslettern und Beschäftigte des Auftraggebers.

Die Plattform ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) bestimmt. Nennen Gäste in Anmerkungen oder im Gespräch etwa Allergien oder Unverträglichkeiten, verarbeitet visito diese Angaben nur als Teil der jeweiligen Reservierung oder Bestellung.

Die Verarbeitung findet grundsätzlich in der Europäischen Union oder im Europäischen Wirtschaftsraum statt. Eine Verarbeitung in Drittländern erfolgt nur nach Ziffer 7 und wie in Anlage 1 angegeben.

visito verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, visito ist nach dem Recht der Europäischen Union oder Deutschlands zur Verarbeitung verpflichtet. In diesem Fall teilt visito dem Auftraggeber diese Verpflichtung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und den Einstellungen, die der Auftraggeber in visito vornimmt. Weitere Weisungen erteilt der Auftraggeber in Textform, etwa per E-Mail an datenschutz@visito.me.

Ist visito der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist visito den Auftraggeber unverzüglich darauf hin. visito kann die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandelt visito als Wunsch nach einer Leistungsänderung.

visito setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und weist sie in die einschlägigen Datenschutzvorschriften ein.

visito trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. visito darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

visito verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung und nicht zum Training von KI-Modellen. Zulässig sind anonymisierte oder aggregierte Auswertungen ohne Personenbezug, etwa zur Abrechnung und zur Verbesserung der Plattform.

visito unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO) und bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, etwa bei einer Datenschutz-Folgenabschätzung. Wendet sich eine betroffene Person direkt an visito, leitet visito die Anfrage unverzüglich an den Auftraggeber weiter.

visito meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie visito bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie visito vorliegen.

visito führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

visito hat einen Datenschutzbeauftragten bestellt: pagestreet – legal Solutions GmbH, Große Hamburger Str. 32, 10115 Berlin, E-Mail: datenschutz@visito.me.

Für Unterstützungsleistungen, die über die übliche Leistung der Plattform hinausgehen und nicht auf einem Verstoß von visito beruhen, kann visito eine angemessene Vergütung verlangen.

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage, für Einwilligungen und für die Information der betroffenen Personen nach Art. 13 und 14 DSGVO.

Er informiert visito unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

Er nutzt die Plattform nur im Rahmen des Hauptvertrags und erhebt über visito keine Daten, die für den jeweiligen Zweck nicht erforderlich sind.

Der Auftraggeber genehmigt allgemein, dass visito Unterauftragsverarbeiter einsetzt. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 1; sie gelten als genehmigt.

visito informiert den Auftraggeber mindestens vier Wochen vorher in Textform, etwa per E-Mail, über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber die betroffene Leistung oder den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.

Ist ein Wechsel aus Gründen der Sicherheit oder Verfügbarkeit dringend, kann visito ihn vor Ablauf der Frist vornehmen und informiert den Auftraggeber unverzüglich; das Widerspruchsrecht bleibt bestehen.

visito verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). visito haftet gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

Keine Unterauftragsverarbeitung sind Nebenleistungen Dritter, die visito nicht im Auftrag nutzt, etwa öffentliche Telekommunikationsnetze. Ebenso wenig Dienste, die der Auftraggeber selbst beauftragt oder in visito anbindet, etwa Zahlungsdienstleister für Gastbestellungen oder Buchungs- und Suchplattformen wie Google; für sie gelten die Vereinbarungen zwischen dem Auftraggeber und dem jeweiligen Anbieter.

Übermittlungen in Länder außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (für zertifizierte Empfänger in den USA das EU-US Data Privacy Framework) oder der Standardvertragsklauseln der EU-Kommission. Anlage 1 nennt die jeweilige Grundlage.

visito weist die Einhaltung seiner Pflichten durch geeignete Unterlagen nach, etwa durch die Beschreibung der Maßnahmen in Anlage 2 sowie Zertifikate oder Prüfberichte von Unterauftragsverarbeitern.

Reichen diese Nachweise im Einzelfall nicht aus, kann der Auftraggeber höchstens einmal im Kalenderjahr eine Kontrolle durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber von visito ist. Die Kontrolle ist mindestens vier Wochen vorher anzukündigen und findet während der üblichen Geschäftszeiten ohne Störung des Betriebs statt. Kontrollen aus konkretem Anlass, etwa nach einer Datenschutzverletzung, bleiben unberührt.

Die Kosten einer Kontrolle trägt der Auftraggeber. Für den eigenen Aufwand kann visito eine angemessene Vergütung verlangen, es sei denn, die Kontrolle deckt einen Verstoß von visito auf. Die Befugnisse der Aufsichtsbehörden bleiben unberührt.

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen den Parteien gelten die Haftungsregeln der AGB (Ziffer 11), soweit Art. 82 DSGVO nicht entgegensteht.

Während der Laufzeit kann der Auftraggeber seine Daten in visito einsehen und, soweit die Plattform dafür eine Exportfunktion bietet, exportieren. Auf Anfrage bis zum Vertragsende stellt visito die im Auftrag verarbeiteten Daten in einem gängigen Format bereit.

Nach dem Ende des Hauptvertrags löscht visito das Konto des Auftraggebers mit allen im Auftrag verarbeiteten Daten automatisch nach 30 Tagen, sofern keine gesetzliche Pflicht zur Speicherung besteht. Bis dahin kann der Auftraggeber die Herausgabe nach Absatz 1 verlangen.

Kopien, die bei der Verarbeitung an anderer Stelle entstehen, werden nach den Fristen dieses Vertrags gelöscht: Protokolle zur Fehleranalyse nach 45 Tagen, Gesprächsprotokolle des Sprachdienstes nach 90 Tagen (Ziffer 11). Auf Verlangen bestätigt visito die Löschung in Textform.

Für den Voice-Agenten verarbeitet visito im Auftrag zusätzlich folgende Daten der Anrufer: Rufnummer, Zeitpunkt und Dauer des Anrufs, Gesprächsinhalte (Sprache während des Gesprächs und Textprotokoll), eine automatisch erstellte Zusammenfassung, im Gespräch genannte Reservierungsangaben (insbesondere Name, Datum, Uhrzeit, Personenzahl und Wünsche), Fragen, die der Voice-Agent nicht beantworten konnte, und die Angabe, ob der Anruf an das Team weitergeleitet wurde.

Zwecke sind die Annahme und Bearbeitung der Anrufe im Namen des Auftraggebers, das Anlegen, Ändern und Stornieren von Reservierungen, Auskünfte auf Grundlage der in visito hinterlegten Angaben, die Weiterleitung an das Team, die Anzeige der Gespräche im visito Dashboard und die Ermittlung des Minutenverbrauchs. Um bestehende Reservierungen zu ändern oder zu stornieren, kann der Voice-Agent sie anhand der Rufnummer des Anrufers suchen.

Die Antworten des Voice-Agenten erzeugt ein Sprachmodell, das der Sprachdienst (Anlage 1) bereitstellt. Voreingestellt ist derzeit ein Modell von Google; fällt es aus, kann der Sprachdienst auf Modelle anderer Anbieter ausweichen.

Gespräche werden nicht als Audio gespeichert. Der Sprachdienst speichert Textprotokolle und Auswertungen 90 Tage. visito speichert Rufnummer, Zusammenfassung und unbeantwortete Fragen 90 Tage und löscht sie danach automatisch. Zeitpunkt, Dauer, Minuten und die Angabe zur Weiterleitung bleiben ohne Rufnummer und Gesprächsinhalt für Abrechnung und Statistik bis zum Ende des Hauptvertrags gespeichert. Vom Voice-Agenten angelegte Reservierungen werden wie andere Reservierungen behandelt.

Der Voice-Agent weist Anrufer zu Beginn jedes Gesprächs darauf hin, dass sie mit einer KI sprechen (Art. 50 Abs. 1 KI-Verordnung). Enthält eine Begrüßung des Auftraggebers diesen Hinweis nicht, ergänzt visito ihn automatisch.

Die Information der Anrufer nach Art. 13 DSGVO übernimmt der Auftraggeber, etwa in seiner Datenschutzerklärung. Eine Beschreibung der Verarbeitung, auf die er verweisen kann, enthält die Datenschutzerklärung von visito im Abschnitt zum Voice-Agenten.

Änderungen dieses Vertrags bedürfen der Textform. Für Änderungen gilt im Übrigen Ziffer 13 der AGB; Änderungen der Anlage 1 richten sich nach Ziffer 6.

Es gelten das Recht und der Gerichtsstand nach Ziffer 14 der AGB. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

visito setzt derzeit folgende Unterauftragsverarbeiter ein (Anbieter – Leistung – Ort der Verarbeitung – Grundlage bei Drittlandbezug):

• IONOS SE, Elgendorfer Straße 57, 56410 Montabaur – Hosting der Plattform und der Datenbank – Rechenzentrum in Berlin, Deutschland – Verarbeitung in der EU

• STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin – Speicherung von Dateien, die in visito hochgeladen werden, etwa Logos, Bilder und Dokumente – Deutschland – Verarbeitung in der EU

• Sinch Mailjet SAS, 4 rue Jules Lefebvre, 75009 Paris, Frankreich – Versand von E-Mails an Gäste – EU – Verarbeitung in der EU

• Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland – Protokollierung zur Fehleranalyse (Cloud Logging), Aufbewahrung 45 Tage – Rechenzentrum Frankfurt am Main (Region europe-west3) – Verarbeitung in der EU; für mögliche Zugriffe aus den USA EU-US Data Privacy Framework und Standardvertragsklauseln

• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland – Ausgabe digitaler Stempelkarten in Google Wallet (Vorname, Kennung der Karte, Stempel) – EU und USA – EU-US Data Privacy Framework und Standardvertragsklauseln

• Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA – Benachrichtigung von Apple-Geräten über geänderte Wallet-Karten (Gerätekennung, ohne Inhalt der Karte) – USA – EU-US Data Privacy Framework

• Twilio Ireland Limited, 25-28 North Wall Quay, Dublin 1, Irland (Konzernmutter Twilio Inc., USA) – Telefonie für den Voice-Agenten: Rufnummer, Annahme und Weiterleitung von Anrufen, Verbindungsdaten – USA – verbindliche interne Datenschutzvorschriften von Twilio (Binding Corporate Rules, Art. 47 DSGVO) und EU-US Data Privacy Framework

• Eleven Labs Inc., 169 Madison Ave #2484, New York, NY 10016, USA – Sprachdienst für den Voice-Agenten: Spracherkennung, Sprachausgabe, Gesprächssteuerung, Textprotokolle und Zusammenfassungen – USA – Standardvertragsklauseln der EU-Kommission

• Sprachmodelle über ElevenLabs (Unterauftragsverarbeiter von ElevenLabs): Google (voreingestellt), ersatzweise OpenAI oder Anthropic – Erzeugung der Antworten des Voice-Agenten – USA – ElevenLabs verpflichtet diese Anbieter nach Art. 28 Abs. 4 DSGVO auf gleichwertige Pflichten

visito trifft insbesondere folgende Maßnahmen nach Art. 32 DSGVO:

Vertraulichkeit

• Zutrittskontrolle: Betrieb der Plattform in Rechenzentren von IONOS in Deutschland mit den dort üblichen physischen Sicherungen; visito betreibt keine eigenen Server

• Zugangskontrolle: Anmeldung nur mit persönlichem Konto; Passwörter werden ausschließlich als Hash (Argon2) gespeichert; Zugangstoken sind zeitlich begrenzt; Schnittstellen für KI-Dienste nutzen eigene Schlüssel je Betrieb

• Zugriffskontrolle: Rollen- und Berechtigungskonzept; Nutzer eines Betriebs sehen nur die Daten ihres Betriebs; administrative Zugriffe nur für berechtigte Beschäftigte von visito

• Trennungskontrolle: Mandantentrennung je Betrieb in der Anwendung; getrennte Datenbanken für Test- und Produktivumgebung

• Pseudonymisierung und Datensparsamkeit: Kostendaten der Telefonie werden ohne Rufnummern gespeichert; personenbezogene Gesprächsdaten des Voice-Agenten werden nach 90 Tagen automatisch gelöscht

Integrität

• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (TLS); Benachrichtigungen von Dienstleistern (Webhooks) werden per Signatur geprüft; Zugangsdaten zu Dienstleistern liegen als geschützte Secrets in der Betriebsumgebung

• Eingabekontrolle: Änderungen an Reservierungen werden mit Zeitpunkt, Art der Änderung und handelnder Stelle (Betrieb, Mitarbeiter, Gast, KI-Schnittstelle) protokolliert; Newsletter-Einwilligungen und ihr Widerruf werden mit Zeitpunkt und Quelle festgehalten; Anwendungsereignisse und Fehler werden zentral protokolliert

Verfügbarkeit und Belastbarkeit

• Betrieb in einer Container-Umgebung (Kubernetes) mit automatischem Neustart fehlerhafter Dienste und Überwachung geplanter Hintergrundaufgaben

Verfahren zur regelmäßigen Überprüfung

• Bestellter externer Datenschutzbeauftragter

• Neue Dienstleister werden vor dem Einsatz auf ausreichende Garantien geprüft und nach Art. 28 DSGVO vertraglich verpflichtet

• Datenschutzverletzungen werden unter Einbeziehung des Datenschutzbeauftragten bewertet und nach Ziffer 4 gemeldet

• Beschäftigte werden vor dem Zugriff auf personenbezogene Daten schriftlich auf Vertraulichkeit verpflichtet