Auftragsverarbeitungsvertrag

[to confirm: Entwurf] Entwurf vom 23. Oktober 2026, verfasst nach Art. 28 der Datenschutz-Grundverordnung (DSGVO). Vor der Veröffentlichung werden die mit [to confirm] markierten Punkte ausgefüllt und der Text von einem Juristen geprüft. Maßgeblich ist die niederländische Fassung (verwerkersovereenkomst); diese Übersetzung dient nur der Information.

1. Parteien und Geltungsbereich

1. Dieser Vertrag wird geschlossen zwischen Ihnen, dem Geschäftskunden von Mealbooks (Verantwortlicher), und Sevenhills Software, Einzelunternehmen (eenmanszaak) von Subhashini Sivasubramani, Saturnus 16, 1188 EC Amstelveen, Niederlande, KVK (niederländisches Handelsregister) 42162009 (Auftragsverarbeiter, „wir“).
2. Er ist Teil des Vertrags über Mealbooks (Allgemeine Geschäftsbedingungen). Sie akzeptieren ihn zusammen mit den Bedingungen bei der Anmeldung, indem Sie das Kästchen im Anmeldeformular ankreuzen; wir halten fest, wann und welche Fassung.
3. Er gilt für die personenbezogenen Daten, die Sie in Mealbooks über andere führen. Für die Daten über Sie als unseren Kunden sind wir selbst Verantwortlicher; siehe die Datenschutzerklärung. Widersprechen sich dieser Vertrag und die Allgemeinen Geschäftsbedingungen in Fragen des Datenschutzes, geht dieser Vertrag vor.

2. Gegenstand, Art, Zweck und Dauer

1. Wir verarbeiten personenbezogene Daten in Ihrem Auftrag nur, um Ihnen Mealbooks bereitzustellen: speichern, Ihren Nutzern anzeigen, Rechnungen, Rechnungskorrekturen, PDFs, E-Rechnungsdateien und Ausdrucke erstellen, die E-Mails versenden, die Sie von Mealbooks versenden lassen (etwa Bestellbestätigungen und Zahlungserinnerungen), Lieferadressen suchen, wenn Sie die Routenplanung (Route Planning) nutzen, Backups sowie Support, um den Sie bitten.
2. Dieser Vertrag gilt, solange Sie Mealbooks nutzen, und endet, sobald alle personenbezogenen Daten, die wir für Sie verarbeiten, gelöscht sind (Artikel 10).

3. Betroffene Personen und personenbezogene Daten

Mealbooks ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) bestimmt, etwa Daten über die Gesundheit einer Person. Sie geben solche Daten nicht ein; Allergene werden pro Gericht erfasst, nicht pro Person.

4. Ihre Weisungen

1. Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung: dieser Vertrag, die Allgemeinen Geschäftsbedingungen, die Nutzung von Mealbooks, wie Sie es eingerichtet haben, und was Sie schriftlich von uns verlangen. Das gilt auch für die Übermittlung in ein Drittland (Artikel 7).
2. Wir verwenden die Daten nicht für eigene Zwecke. Wenn eine Weisung nach unserer Auffassung gegen die DSGVO oder anderes Datenschutzrecht verstößt, teilen wir Ihnen das unverzüglich mit.
3. Ohne Ihre Weisung verarbeiten wir nur, wenn das Recht der EU oder der Niederlande dazu verpflichtet; wir teilen Ihnen das dann vorher mit, es sei denn, dieses Recht verbietet es.

5. Vertraulichkeit

Jeder, der für uns Zugang zu den Daten hat, ist zur Vertraulichkeit verpflichtet. Derzeit ist das nur die Person, der Sevenhills Software gehört. Wir sehen uns Ihre Daten nur an, wenn das für Support, um den Sie bitten, für die Sicherheit nötig ist oder weil das Gesetz es verlangt.

6. Sicherheit (Art. 32 DSGVO)

Wir treffen geeignete technische und organisatorische Maßnahmen, darunter:

• jedes Unternehmen sieht nur seine eigenen Daten; Zugang nur nach Anmeldung; Passwörter nur als nicht umkehrbarer Hash gespeichert;
• Sperrung eines Kontos nach 5 falschen Passwörtern, optionale Anmeldung in zwei Schritten mit einem Code per E-Mail, Begrenzung der Anzahl der Anfragen;
• verschlüsselte Verbindungen (HTTPS) und Hosting in der EU oder im EWR;
• jede Nacht ein Backup, innerhalb von 30 Tagen gelöscht;
• hochgeladene Fotos verkleinert und von verborgenen Daten (wie dem Standort) befreit;
• eine verkettete Aufzeichnung je Unternehmen über jede ausgestellte Rechnung, Rechnungskorrektur, Zahlung und Stornierung sowie die Monats- und Jahresabschlüsse: Jeder Eintrag enthält einen SHA-256-Fingerabdruck des vorigen, sodass eine spätere Änderung oder Löschung bei der Prüfung der Kette auffällt; ausgestellte Rechnungen, Rechnungskorrekturen und Zahlungen werden nachträglich nicht geändert oder gelöscht;
• Protokollierung von Sicherheitsereignissen, und Änderungen an der Software werden getestet, bevor sie live gehen.

Wir überprüfen diese Maßnahmen regelmäßig und dürfen sie anpassen, solange das Sicherheitsniveau nicht sinkt.

7. Unterauftragsverarbeiter und Übermittlung

1. Sie erteilen eine allgemeine schriftliche Genehmigung für diese Unterauftragsverarbeiter:

2. Mollie wickelt die Zahlung Ihres eigenen Abonnements als eigenständiger Verantwortlicher ab und erhält keine Daten Ihrer Kunden.
3. Wir teilen Ihnen mindestens 30 Tage, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, per E-Mail mit. Sie können innerhalb dieser Frist begründet Einspruch erheben; können wir den Einspruch nicht ausräumen, können Sie den Vertrag vor der Änderung kostenlos beenden.
4. Wir erlegen jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf. Wir haften Ihnen gegenüber weiterhin in vollem Umfang für deren Einhaltung (Art. 28 Abs. 4 DSGVO).
5. Personenbezogene Daten werden nur mit einer Garantie aus Kapitel V DSGVO (etwa einem Angemessenheitsbeschluss oder Standardvertragsklauseln) außerhalb des Europäischen Wirtschaftsraums übermittelt.

8. Unterstützung

1. Anträge betroffener Personen: Die meisten Daten können Sie in Mealbooks selbst einsehen, berichtigen, exportieren (CSV) und löschen. Wo das nicht geht, helfen wir Ihnen innerhalb einer angemessenen Frist. Einen Antrag, den wir selbst erhalten, leiten wir an Sie weiter, ohne ihn selbst zu beantworten. Ausgestellte Rechnungen, Rechnungskorrekturen und Zahlungen können in Mealbooks nicht geändert oder gelöscht werden, und ihre verkettete Aufzeichnung (Artikel 6) bleibt erhalten, solange Ihr Konto besteht; das Recht auf Löschung gilt nicht für Daten, die Sie gesetzlich aufbewahren müssen (Art. 17 Abs. 3 lit. b DSGVO).
2. Wir unterstützen Sie unter Berücksichtigung der uns vorliegenden Informationen bei der Sicherheit, bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation einer Aufsichtsbehörde (Art. 32 bis 36 DSGVO) und arbeiten mit der Aufsichtsbehörde zusammen.
3. Wir führen ein Verzeichnis der Verarbeitungen, die wir für unsere Kunden durchführen (Art. 30 Abs. 2 DSGVO).

9. Verletzungen des Schutzes personenbezogener Daten (Datenpannen)

1. Wenn wir eine Datenpanne entdecken, die Ihre Daten betrifft, melden wir sie Ihnen unverzüglich und spätestens innerhalb von 48 Stunden nach der Entdeckung, per E-Mail an die Adresse in Ihrem Konto.
2. Wir teilen Ihnen mit, was wir wissen, und ergänzen es, sobald wir mehr wissen: was geschehen ist, welche Kategorien und wie viele betroffene Personen und Datensätze ungefähr betroffen sein können, die wahrscheinlichen Folgen und was wir unternommen haben und noch unternehmen.
3. Sie entscheiden, ob Sie die Datenpanne der Aufsichtsbehörde (innerhalb von 72 Stunden, Art. 33 DSGVO) und den betroffenen Personen melden; wir helfen Ihnen dabei. Wir dokumentieren jede Datenpanne.

10. Ende des Vertrags: Rückgabe und Löschung

1. Wenn Ihr Konto abgeschaltet ist, können Sie alle Daten Ihres Unternehmens mit Meine Daten herunterladen mindestens 30 Tage (höchstens 50) herunterladen, bevor sie gelöscht werden; so geben wir Ihnen die Daten zurück.
2. Nach dieser Frist löschen wir alle personenbezogenen Daten, die wir für Sie verarbeiten, und Backups werden innerhalb von 30 Tagen überschrieben. Wir bewahren Daten nur auf, wenn das Recht der EU oder der Niederlande dazu verpflichtet; die Daten über Ihre Kunden gehören nicht dazu.
3. Auf Anfrage bestätigen wir die Löschung schriftlich.

11. Informationen und Audits

1. Wir stellen Ihnen alle Informationen zur Verfügung, die nötig sind, um nachzuweisen, dass wir Art. 28 DSGVO und diesen Vertrag einhalten.
2. Sie dürfen ein Audit durch einen unabhängigen, zur Vertraulichkeit verpflichteten Sachverständigen durchführen lassen, höchstens einmal pro Jahr, mit einer Ankündigung von mindestens 30 Tagen, während der Geschäftszeiten und ohne Zugang zu Daten anderer Kunden. Die Kosten tragen Sie, es sei denn, das Audit ergibt, dass wir diesen Vertrag schwerwiegend nicht eingehalten haben.

12. Haftung und sonstige Bestimmungen

1. Die Haftungsbeschränkungen der Allgemeinen Geschäftsbedingungen gelten auch für diesen Vertrag, außer soweit Art. 82 DSGVO oder anderes zwingendes Recht dies nicht zulässt. Sie beschränken die Rechte betroffener Personen nicht.
2. Es gilt niederländisches Recht; Streitigkeiten gehen an das in den Allgemeinen Geschäftsbedingungen genannte Gericht.

Version 2026-10-26 (Entwurf).