Vertrag zur Auftragsverarbeitung
Stand: 07.10.2026. Nach Art. 28 DSGVO, Teil der Partnerbedingungen.
zwischen der Firma (Name und Anschrift wie im Partner-Portal hinterlegt) – „Verantwortlicher“ – und Carsten Fregin, spielgestalt, Pracherdamm 106, 25436 Tornesch, suchmichnicht@spielgestalt.de – „Auftragsverarbeiter“.
§ 1 Gegenstand und Dauer
(1) Der Auftragsverarbeiter betreibt die Plattform suchmichnicht (Website, App „suchmichnicht“, Partner-Portal, Partner-App). Für die Firma verarbeitet er dabei personenbezogene Daten in deren Auftrag, soweit die Firma die Plattform für ihre Kunden und Beschäftigten nutzt (Online-Bestellung, Lieferung, Touren, Tischreservierung, Mitgliederverwaltung, Newsletter, Postfächer unter der Domain der Firma).
(2) Der Vertrag gilt, solange die Firma ein Konto im Partner-Portal hat, und endet mit dessen Löschung. § 9 gilt darüber hinaus.
(3) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die der Auftragsverarbeiter selbst verantwortlich ist (öffentliche Suche und Karte, freiwillige Kundenkonten der Endkunden, Abrechnung des Abos), sowie die Online-Zahlung: Die Firma schließt dafür einen eigenen Vertrag mit Stripe oder Mollie.
§ 2 Art, Zweck und Umfang der Verarbeitung
| Betroffene | Daten | Zweck |
|---|---|---|
| Kunden der Firma | Name, Telefon, E-Mail (optional), Lieferadresse und deren Koordinaten, Bestellung bzw. Reservierung (Artikel, Optionen, Anmerkungen, Zeit, Betrag, Personenzahl), Status | Bestellung entgegennehmen, zubereiten, liefern; Reservierung verwalten; Statusseite für den Kunden |
| Beschäftigte der Firma (Inhaber, Filialleitung, Mitarbeiter, Fahrer) | E-Mail, Anzeigename, Rollen, Filialen, Einstempeln, Gerät für Mitteilungen (Push-Token) | Zugang und Rechte in Portal und Partner-App, Mitteilungen über Bestellungen |
| Fahrer | zusätzlich Fahrten: Beginn, Ende, Reihenfolge der Stopps (Bestellnummern), gefahrene Kilometer (aus der Route berechnet, nicht aus dem Standort) | Lieferung, Kilometergeld |
| Fahrer, Modul „Live-Tracking“ | Standort während einer Tour (alle ca. 10 s), Spur der Tour | Kunde sieht den Fahrer, der zu ihm unterwegs ist, und die Ankunftszeit; Filiale sieht Fahrer auf Tour; Rückfragen zu einer Lieferung |
| Newsletter-Abonnenten der Firma (Module „Eigene Website“, „Newsletter“) | E-Mail, Name und Sprache (optional), Status, Einwilligung (Zeitpunkt, Herkunft, bei Import der bestätigte Einwilligungstext), Abmelde-Link, je Newsletter der Zustellstatus (zugestellt, unzustellbar, Beschwerde) | Anmeldung mit Bestätigungsmail (Double-Opt-in), Versand der Newsletter der Firma, Abmelden; kein Öffnungs- oder Klick-Tracking |
| Nutzer der Postfächer der Firma und deren Kommunikationspartner (Modul „E-Mail“) | Name, E-Mail-Adresse, Tarif, Status des Postfachs; Inhalte (E-Mails, Kalender, Adressbuch) verarbeitet ausschließlich der Anbieter nach Anlage 1 | Einrichten, Ändern und Kündigen der Postfächer; der Auftragsverarbeiter hat keinen Zugriff auf die Inhalte (Passwort setzt der Nutzer selbst) |
Besucher der Website der Firma werden nur gezählt (Seite, Herkunft, Gerätetyp, Sprache, Land), ohne IP-Adresse, Cookies oder Kennung; das sind keine personenbezogenen Daten.
Für das Live-Tracking informiert die Firma ihre Fahrer vorab; bei Betriebsrat ist eine Betriebsvereinbarung nötig. Außerhalb einer Tour wird nicht geortet.
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet. Für künftige Module mit solchen Daten (z. B. Termine bei Praxen) wird ein gesonderter Vertrag geschlossen.
§ 3 Weisungen
(1) Der Auftragsverarbeiter verarbeitet die Daten nur nach dokumentierter Weisung der Firma. Die Weisungen ergeben sich aus diesem Vertrag und aus der Nutzung der Plattform (Einstellungen, gebuchte Module); weitere Weisungen erteilt die Firma in Textform.
(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er die Firma unverzüglich darauf hin und darf sie bis zur Klärung aussetzen.
§ 4 Vertraulichkeit
Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
§ 5 Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die Maßnahmen nach Anlage 2 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
§ 6 Unterauftragsverarbeiter
(1) Die Firma genehmigt die in Anlage 1 genannten Unterauftragsverarbeiter.
(2) Neue oder geänderte Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens 30 Tage vorher in Textform mit. Die Firma kann aus wichtigem datenschutzrechtlichem Grund widersprechen; betrifft die Änderung nur ein Zusatzmodul, kann sie das Modul abbestellen, sonst den Vertrag kündigen.
(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau (Art. 28 Abs. 4 DSGVO).
§ 7 Übermittlung in Drittländer
Die Daten werden in der EU gespeichert und verarbeitet. Einzelne Unterauftragsverarbeiter (Anlage 1) können Daten in den USA verarbeiten oder darauf zugreifen; das ist über das EU-US Data Privacy Framework und Standardvertragsklauseln abgesichert. Die Schweiz (MapTiler) hat einen Angemessenheitsbeschluss.
§ 8 Unterstützung der Firma
(1) Der Auftragsverarbeiter unterstützt die Firma bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung usw.), soweit sie diese nicht selbst im Portal erledigen kann.
(2) Verletzungen des Schutzes personenbezogener Daten meldet er der Firma unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
(3) Er unterstützt die Firma bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde, soweit sie die Plattform betreffen.
§ 9 Löschung und Rückgabe
(1) Die Live-Position eines Fahrers wird am Ende der Tour gelöscht, die Spur der Tour nach 14 Tagen. Nach 12 Monaten werden die personenbezogenen Daten einer Bestellung automatisch gelöscht (Name, Telefon, E-Mail, Lieferadresse, Anmerkungen) und Fahrten verlieren ihren Ortsbezug. Artikel, Beträge, Nummer und Datum bleiben ohne Personenbezug als Beleg der Firma erhalten (steuerliche Aufbewahrung). In den Sicherungen (Anlage 2) bleiben gelöschte Daten höchstens 7 Tage. Abgemeldete Newsletter-Abonnenten bleiben mit Adresse und Zeitpunkt der Abmeldung gespeichert, damit sie nicht erneut angeschrieben werden; die Firma kann sie im Portal endgültig entfernen. Gekündigte Postfächer löscht der Anbieter nach Anlage 1.
(2) Nach Vertragsende stellt der Auftragsverarbeiter der Firma auf Wunsch ihre Daten in einem gängigen Format bereit und löscht sie danach, spätestens 30 Tage nach Vertragsende, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.
§ 10 Nachweise und Kontrollen
Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage nach (insbesondere durch Auskünfte und die Zertifikate der Unterauftragsverarbeiter). Kontrollen vor Ort sind nach Ankündigung mit angemessener Frist möglich.
§ 11 Schlussbestimmungen
Es gilt deutsches Recht. Die Haftung richtet sich nach Art. 82 DSGVO. Änderungen bedürfen der Textform. Bei Widersprüchen geht dieser Vertrag den Partnerbedingungen vor, soweit es um den Datenschutz geht.
Anlage 1: Unterauftragsverarbeiter
| Anbieter | Leistung | Daten | Ort |
|---|---|---|---|
| Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Google Cloud / Firebase) | Hosting von Website und Portal, Datenbank, Server-Funktionen, Dateispeicher, Anmeldung (Firebase Authentication), Mitteilungen an die Partner-App (Firebase Cloud Messaging) | alle Daten nach § 2 | Speicherung EU (Datenbank eur3, Funktionen Frankfurt, Hosting Niederlande); Anmeldung und Mitteilungen auch USA, Zugriff aus den USA möglich (DPF, SCC) |
| MapTiler AG, Höfliweg 11, 6300 Zug, Schweiz | Umwandlung von Lieferadressen in Koordinaten (Liefergebiet, Touren), Adresssuche im Portal | Lieferadresse (Straße, PLZ, Ort), ohne Namen | Schweiz (Angemessenheitsbeschluss) |
| HeiGIT gGmbH, Heidelberg (openrouteservice) | Reihenfolge der Stopps einer Tour, gefahrene Strecke (Kilometergeld) | Koordinaten von Filiale und Lieferadressen, Lieferzeiten; ohne Namen und Bestellungen | Deutschland |
| Google Ireland Limited (Google Maps Platform, Routes API) – nur mit Modul „Live-Verkehr“ | Reihenfolge der Stopps mit aktuellem Verkehr | Koordinaten von Filiale und Lieferadressen einer Tour; ohne Namen und Bestellungen | Verarbeitung auch in den USA (DPF, SCC) |
| Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Amazon SES) – nur mit Modul „Eigene Website“ oder „Newsletter“ | Versand der Bestätigungsmails und Newsletter, Rückmeldung unzustellbarer Mails und Beschwerden | E-Mail, Name, Inhalt der Mail, Zustellstatus | Frankfurt (eu-central-1); Muttergesellschaft in den USA (DPF, SCC) |
| Heinlein Hosting GmbH, Schwedter Straße 9a, 10119 Berlin (mailbox.org) – nur mit Modul „E-Mail“ | Betrieb der Postfächer der Firma (E-Mail, Kalender, Adressbuch) | Name und E-Mail-Adresse der Nutzer, Inhalte der Postfächer | Deutschland (Berlin), ISO 27001, BSI C5; AVV mit dem Auftragsverarbeiter geschlossen am 21.10.2026 |
| Algolia SAS, 55 rue d’Amsterdam, 75008 Paris, Frankreich | Suche nach Firmen | nur öffentliche Angaben der Standorte (Name, Kategorie, Adresse, Module) – keine Daten nach § 2 | EU; Muttergesellschaft in den USA (DPF, SCC) |
Anlage 2: Technische und organisatorische Maßnahmen
Ort und Anbieter: Speicherung in Rechenzentren in der EU (siehe Anlage 1); Google Cloud ist nach ISO 27001 und SOC 2 zertifiziert, Amazon SES läuft in Frankfurt, mailbox.org (Heinlein Hosting) in Berlin mit ISO 27001 und BSI C5.
Verschlüsselung: Übertragung nur verschlüsselt (TLS). Gespeicherte Daten verschlüsselt der Hoster standardmäßig.
Zugriff: Anmeldung mit E-Mail und Passwort bzw. Google/Apple; Rechte je Rolle (Inhaber, Admin, Filialleitung, Mitarbeiter, Fahrer) und je Filiale, durchgesetzt in den Datenbankregeln und auf dem Server, mit automatisierten Tests für jede Regel. Kontaktdaten und Adresse einer Bestellung sieht nur die Filiale; Fahrer nur, solange die Lieferung fertig, bei ihnen oder unterwegs ist. Kunden sehen den Status ihrer Bestellung über einen nicht erratbaren Link, ohne Kontaktdaten. Fahrten und Kilometer der Fahrer sieht nur der Inhaber (bzw. Admin); Live-Positionen auch der Bestelleingang. Der Kunde sieht nur den Fahrer, der gerade zu ihm unterwegs ist. Die Partner-App zeigt dem Fahrer an, dass sein Standort geteilt wird; keine Auswertung von Tempo oder Pausen. Firmendaten, Rechte und Module schreibt nur der Server. Administrativer Zugriff auf die Infrastruktur nur durch den Inhaber des Auftragsverarbeiters, mit Zwei-Faktor-Anmeldung.
Datensparsamkeit: An Karten- und Routing-Dienste gehen nur Adressen bzw. Koordinaten, keine Namen oder Bestellungen. Keine Analyse-, Werbe- oder Tracking-Dienste; Zugriffszahlen der Website ohne IP-Adresse und Cookies, Newsletter ohne Öffnungs- und Klick-Tracking.
Trennung: Daten verschiedener Firmen sind über die Firmenkennung getrennt; die Datenbankregeln lassen nur Mitglieder der jeweiligen Firma zu.
Verfügbarkeit: Betrieb auf der verwalteten Infrastruktur von Google Cloud mit deren Redundanz; tägliche Sicherung der Datenbank, 7 Tage aufbewahrt, im selben EU-Speicherort.
Löschung: Täglicher automatischer Lauf: Bestellungen älter als 12 Monate verlieren ihre personenbezogenen Daten (§ 9 Abs. 1).