(1) Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem (Art. 4 Z 7 DSGVO) und der cook&kalk e.U., Inhaber Stefan Pichler, Birkenweg 7, 7083 Purbach am Neusiedlersee, Österreich, Firmenbuchnummer FN 687407 v, Firmenbuchgericht Landesgericht Eisenstadt, als Auftragsverarbeiter (Art. 4 Z 8 DSGVO; nachfolgend „Anbieter“).
(2) Der Vertrag ist Anlage und Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) und gilt mit dem Nutzungsvertrag (Registrierung). Er regelt die Pflichten nach Art. 28 Abs. 3 DSGVO. Bei Widersprüchen geht er in Datenschutzfragen den AGB vor.
(1) Gegenstand ist die Verarbeitung personenbezogener Daten, die der Kunde bei der Nutzung der Software cook&kalk (Software-as-a-Service) erfasst oder durch seine Nutzer erfassen lässt.
(2) Die Verarbeitung dauert so lange, wie der Kunde cook&kalk nutzt (Testphase und Abo), und endet mit der Löschung der Daten nach § 11.
Speichern, Anzeigen, Ändern, Übermitteln und Löschen von Daten, soweit es für die Funktionen von cook&kalk nötig ist – insbesondere Kalkulation und Verwaltung von Rezepturen, Preisen und Speisekarten, Team und Rollen samt Einladung per E-Mail sowie das Änderungsprotokoll. Der Anbieter verarbeitet diese Daten nicht für eigene Zwecke.
(1) Datenarten:
(2) Betroffene Personen: Mitarbeiter und sonstige Teammitglieder des Kunden, eingeladene Personen sowie Personen, deren Daten der Kunde in seinen Inhalten erfasst.
(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen; der Kunde erfasst solche Daten nicht in cook&kalk.
(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind die AGB, dieser Vertrag und die Nutzung der Funktionen der Software durch den Kunden; weitere Weisungen erteilt der Kunde per E-Mail an office@cook-kalk.com.
(2) Ist der Anbieter gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt er dem Kunden diese Pflicht vorher mit, sofern das Gesetz das nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
(3) Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin.
Der Anbieter stellt sicher, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
(1) Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO, insbesondere:
(2) Der Anbieter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.
(1) Der Kunde genehmigt den Einsatz folgender Unterauftragsverarbeiter:
(2) Stripe (Stripe Payments Europe, Ltd., Irland) verarbeitet ausschließlich die Zahlungs- und Rechnungsdaten des Kunden selbst – eigenverantwortlich und nicht als Unterauftragsverarbeiter für Daten nach diesem Vertrag.
(3) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf gleichwertige Datenschutzpflichten (Art. 28 Abs. 4 DSGVO). Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO.
(4) Will der Anbieter einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, informiert er den Kunden vorab per E-Mail oder in der Software. Der Kunde kann binnen 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Wirksamwerden der Änderung kündigen.
(1) Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen bei Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Vieles kann der Kunde direkt in der Software erledigen (Teammitglieder ändern oder entfernen, Daten exportieren). Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter.
(2) Der Anbieter unterstützt den Kunden bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit es die Art der Verarbeitung und die ihm vorliegenden Informationen zulassen.
Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, per E-Mail an die Adresse des Kundenkontos – mit den ihm vorliegenden Angaben nach Art. 33 Abs. 3 DSGVO.
(1) Nach Vertragsende kann der Kunde seine Daten mindestens 30 Tage lang exportieren (AGB § 10 Abs. 3 und § 10a). Danach löscht der Anbieter die Daten nach diesem Vertrag, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Kopien in Datensicherungen des Hosting-Anbieters werden nach dessen Vorgaben überschrieben.
(2) Auf Wunsch des Kunden löscht der Anbieter früher; der Kunde kann sein Konto auch selbst löschen.
(1) Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – durch den Kunden oder einen von ihm beauftragten Prüfer (Art. 28 Abs. 3 lit. h DSGVO). Überprüfungen sind mit angemessener Frist anzukündigen.
(2) Als Nachweis dienen insbesondere dieser Vertrag, die Maßnahmen nach § 7 sowie die Unterlagen der Unterauftragsverarbeiter (z. B. deren Auftragsverarbeitungsverträge und Zertifizierungen).
(1) Es gilt österreichisches Recht; Gerichtsstand wie in den AGB (§ 13).
(2) Änderungen dieses Vertrags werden wie Änderungen der AGB angekündigt (AGB § 12).
(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.