Auftragsverarbeitungs-vereinbarung (AVV)

gemäß Art. 28 DSGVO

Zeta Gastro e.U.
Stand: 27.05.2026

1. Allgemeines

Diese Auftragsverarbeitungsvereinbarung („AVV“) gilt für sämtliche Fälle, in denen Zeta Gastro e.U. („Zeta Gastro“ oder „Auftragsverarbeiter“) personenbezogene Daten im Auftrag von KundInnen („Verantwortliche“) im Rahmen der Nutzung der Zeta-Plattform oder sonstiger Leistungen verarbeitet.

Diese AVV ergänzt die jeweils geltenden Allgemeinen Geschäftsbedingungen (AGB) von Zeta Gastro und gilt mit Abschluss des Vertrags bzw. Nutzung der entsprechenden Leistungen als abgeschlossen.

Die jeweils aktuelle Version dieser AVV ist auf der Website von Zeta Gastro abrufbar.

2. Gegenstand der Verarbeitung

Zeta Gastro verarbeitet personenbezogene Daten ausschließlich im Rahmen der vertraglich vereinbarten Leistungen und ausschließlich im Auftrag der Verantwortlichen.

Die Verarbeitung erfolgt insbesondere im Zusammenhang mit der Nutzung der Zeta-Plattform sowie damit verbundener Funktionen, Module, Integrationen und Dienstleistungen, insbesondere in den Bereichen:

Küchenverwaltung
Finanzverwaltung
Reservierungsverwaltung
Marketingverwaltung
Personalverwaltung
Organisationsverwaltung
CRM- und Kundenverwaltung
Event- und Cateringverwaltung
Rechnungs- und Angebotsverwaltung
Newsletter- und Kommunikationsfunktionen
E-Rechnungs- und XML-Generierung
SEPA-QR-Code- und Zahlungs-QR-Code-Generierung
KI-gestützte und automatisierte Funktionen
Support-, Analyse- und Sicherheitsfunktionen

Die konkrete Verarbeitung hängt vom jeweils aktivierten Leistungsumfang, den verwendeten Modulen sowie den Einstellungen und Eingaben der Verantwortlichen ab.

3. Kategorien betroffener Personen

Von der Verarbeitung können insbesondere folgende Personengruppen betroffen sein:

KundInnen und Gäste
Reservierungs- und EventteilnehmerInnen
Newsletter-AbonnentInnen
MitarbeiterInnen und BewerberInnen
LieferantInnen und GeschäftspartnerInnen
Kontaktpersonen
InteressentInnen
NutzerInnen der Plattform
Sonstige Personen, deren Daten durch die Verantwortlichen verarbeitet werden

4. Arten personenbezogener Daten

Je nach Nutzung der Leistungen können insbesondere folgende personenbezogene Daten verarbeitet werden:

Vor- und Nachname
E-Mail-Adresse
Telefonnummer
Anschrift und Rechnungsdaten
Reservierungs- und Buchungsdaten
Kommunikationsdaten
CRM- und Kundennotizen
Mitarbeiter- und Arbeitszeitdaten
Bewerbungsdaten
Zahlungs- und Transaktionsinformationen
Rechnungs- und Angebotsdaten
Nutzungs- und Systemdaten
Rollen- und Berechtigungsinformationen
Geräte-, Browser- und Logdaten
IP-Adressen und technische Protokolldaten
Inhalte hochgeladener Dateien und Dokumente
Sonstige durch die Verantwortlichen bereitgestellte Daten

Zahlungsdaten werden teilweise über externe Zahlungsdienstleister verarbeitet.

5. Pflichten von Zeta Gastro

Zeta Gastro verpflichtet sich:

personenbezogene Daten ausschließlich im Rahmen der vertraglichen Vereinbarungen sowie der Weisungen der Verantwortlichen zu verarbeiten;
sämtliche mit der Verarbeitung befassten Personen zur Vertraulichkeit zu verpflichten;
angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen;
die Verantwortlichen bei der Wahrnehmung von Betroffenenrechten im angemessenen Umfang zu unterstützen;
die Verantwortlichen bei Datenschutzverletzungen sowie bei datenschutzrechtlichen Pflichten gemäß Art. 32 bis 36 DSGVO angemessen zu unterstützen;
personenbezogene Daten nach Beendigung der Verarbeitung entsprechend den gesetzlichen und vertraglichen Vorgaben zu löschen oder zurückzugeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen;
ein Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DSGVO zu führen, soweit gesetzlich erforderlich.

6. Pflichten der Verantwortlichen

Die Verantwortlichen bleiben - soweit gesetzlich nichts anderes vorgesehen ist - insbesondere verantwortlich für:

die Rechtmäßigkeit der Datenverarbeitung;
die Zulässigkeit der Datenübermittlung;
die Einhaltung sämtlicher Informationspflichten;
das Vorliegen erforderlicher Einwilligungen;
die datenschutzrechtliche Zulässigkeit von Newsletter-, Marketing-, CRM-, Reservierungs- und Kommunikationsmaßnahmen;
die Rechtmäßigkeit der verarbeiteten Inhalte und Daten;
die Prüfung KI-gestützter oder automatisierter Ergebnisse vor deren Verwendung.

Die Verantwortlichen verpflichten sich, personenbezogene Daten nur im rechtlich zulässigen Umfang innerhalb der Plattform zu verarbeiten.

7. KI-gestützte Funktionen

Die Plattform kann KI-gestützte, automatisierte oder algorithmische Funktionen enthalten.

Dabei können Inhalte, Eingaben oder Daten technisch verarbeitet werden, um automatisierte Ergebnisse, Vorschläge, Zusammenfassungen, Analysen, Übersetzungen oder sonstige Funktionen bereitzustellen.

Zeta Gastro bemüht sich um datenschutzkonforme technische und organisatorische Umsetzung solcher Funktionen. Die Verantwortlichen bleiben jedoch für die rechtliche Zulässigkeit der eingegebenen Inhalte und der Nutzung KI-generierter Ergebnisse verantwortlich.

8. Technische und organisatorische Maßnahmen (TOMs)

Zeta Gastro setzt angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um, insbesondere:

Vertraulichkeit

Zugriffsbeschränkungen und Rollenrechte
Sichere Passwortanforderungen
Zwei-Faktor-Authentifizierung bei administrativen Zugängen
Verschlüsselung von Datenübertragungen (TLS/SSL)

Integrität

Protokollierung relevanter Systemzugriffe
Schutz vor unbefugten Änderungen
Sicherheitsmaßnahmen gegen Manipulation

Verfügbarkeit

Hosting über professionelle Cloud-Infrastruktur
Datensicherungen und Backup-Systeme
Maßnahmen zur Ausfallsicherheit und Wiederherstellung

Belastbarkeit und Sicherheit

Sicherheitsupdates und Monitoring
Schutzmaßnahmen gegen Cyberangriffe
Zugriffsbeschränkungen auf interne Systeme

Verfahren zur Überprüfung

Regelmäßige Überprüfung von Zugriffsrechten
Überprüfung technischer Sicherheitsmaßnahmen
Zusammenarbeit mit professionellen Infrastruktur- und Sicherheitsdienstleistern

Zeta Gastro ist berechtigt, technische und organisatorische Maßnahmen im Rahmen technischer Weiterentwicklungen anzupassen, sofern das Datenschutzniveau nicht wesentlich verschlechtert wird.

9. Sub-Auftragsverarbeiter

Zeta Gastro setzt Sub-Auftragsverarbeiter für Hosting, Infrastruktur, Zahlungsabwicklung, Kommunikationsdienste, KI-Funktionen, Authentifizierung, Analyse- und Sicherheitsdienste ein.

Die jeweils aktuelle Liste der eingesetzten Sub-Auftragsverarbeiter ist hier abrufbar.

Zeta Gastro ist berechtigt, Sub-Auftragsverarbeiter hinzuzufügen, zu ändern oder auszutauschen, sofern dies zur Leistungserbringung erforderlich ist.

10. Drittlandübermittlungen

Soweit personenbezogene Daten an Dienstleister außerhalb der EU bzw. des EWR übermittelt werden, erfolgt dies ausschließlich unter Einhaltung der geltenden datenschutzrechtlichen Vorgaben.

Dies erfolgt insbesondere auf Grundlage:

Angemessenheitsbeschlüssen der Europäischen Kommission,
Standardvertragsklauseln gemäß Art. 46 DSGVO,
oder sonstiger gesetzlich zulässiger Garantien.

11. Rechte der Verantwortlichen

Die Verantwortlichen haben das Recht, im gesetzlich zulässigen Umfang Informationen über die Verarbeitung ihrer Daten im Rahmen dieser AVV zu verlangen.

Zeta Gastro wird angemessene Informationen zur Verfügung stellen, soweit dies erforderlich und verhältnismäßig ist.

12. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer der Nutzung der Leistungen von Zeta Gastro.

Nach Beendigung des Vertragsverhältnisses werden personenbezogene Daten entsprechend den gesetzlichen Vorgaben, vertraglichen Vereinbarungen sowie den technischen und betrieblichen Prozessen gelöscht, gesperrt oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

13. Änderungen der AVV

Zeta Gastro ist berechtigt, diese AVV anzupassen, soweit dies aufgrund technischer, organisatorischer, gesetzlicher oder regulatorischer Änderungen erforderlich ist.

Die jeweils aktuelle Version ist auf der Website von Zeta Gastro abrufbar.

Die fortgesetzte Nutzung der Leistungen nach Inkrafttreten einer aktualisierten Version gilt als Zustimmung zur jeweils aktuellen Fassung, soweit gesetzlich zulässig.