Vertrag zur Auftragsverarbeitung

1. Vertragspartner

Dieser Vertrag gilt zwischen dem Nutzer als Verantwortlichem und Quentin Finus, handelnd unter Stovari, Konrad-Zuse-Str. 7A, 78467 Konstanz, erreichbar unter info@stovari.de, als Auftragsverarbeiter, im Folgenden Stovari. Nutzer ist der Betrieb, für den ein Konto bei Stovari registriert ist.

Der Vertrag ist Anlage und Bestandteil der Nutzungsbedingungen. Er gilt, soweit der Nutzer in Stovari personenbezogene Daten Dritter verarbeitet; diese Daten heißen im Folgenden Auftragsdaten. Mit der Registrierung stimmt der Nutzer ihm zu. Der Vertrag regelt, was Art. 28 Abs. 3 DSGVO verlangt; die elektronische Form genügt nach Art. 28 Abs. 9 DSGVO.

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung der Auftragsdaten, während Stovari dem Nutzer App und Cloud mit den zugehörigen Serverfunktionen bereitstellt. Der Vertrag gilt für die Laufzeit des Nutzungsvertrags. Seine Pflichten bestehen fort, solange Stovari danach noch Auftragsdaten verarbeitet.

Der Nutzer bleibt Verantwortlicher im Sinne der DSGVO. Er entscheidet, welche Daten er in Stovari einträgt, und sorgt dafür, dass er sie verarbeiten darf, etwa indem er seine Mitarbeiter darüber informiert.

3. Art und Zweck der Verarbeitung

Stovari speichert die Auftragsdaten, zeigt sie in App und Cloud an, verknüpft sie zu Listen, Berichten und Protokollen, übermittelt sie an Dienste, die der Nutzer selbst auslöst, etwa die Belegerkennung oder Adressvorschläge, und löscht sie. Zweck ist allein, dem Nutzer die Funktionen von Stovari bereitzustellen, darunter Lager, Automaten, Zugänge für Mitarbeiter, HACCP-Dokumentation und Berichte. Für eigene Zwecke verwendet Stovari Auftragsdaten nicht.

4. Arten der Daten und betroffene Personen

Auftragsdaten sind vor allem:

• Zugänge der Mitarbeiter: Name, Mailadresse, Telefonnummer und Profilbild, soweit angegeben, dazu Rolle, Rechte und Einladungen
• wer eine Buchung oder einen Beleg angelegt hat, mit Zeitpunkt
• HACCP-Einträge, sobald HACCP für den Betrieb eingeschaltet ist: Wareneingangskontrollen, Kontrollen beim Befüllen, Reinigungen, Temperaturmesswerte, Schädlingskontrollen, Schulungen mit den Namen der Teilnehmer, Rückrufe sowie Maßnahmen und Anmerkungen als Freitext, jeweils mit Zeitpunkt und Namen der erfassenden Person
• Ansprechpartner von Lieferanten mit Telefonnummer, Mailadresse, Anschrift, Kundennummer, Webseite und Notizen
• Standorte der Automaten mit Adresse sowie Fotos der Automaten
• Inhalte hochgeladener Belege wie Lieferscheine und Rechnungen, als Datei und als erkannte Angaben
• Daten, die Vendon oder Nayax aus dem Konto des Nutzers liefern, soweit sie Personen betreffen
• personenbezogene Angaben, die der Nutzer oder seine Mitarbeiter in Freitextfeldern eintragen

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind in Stovari nicht vorgesehen; der Nutzer trägt sie nicht ein.

Betroffen sind:

• Mitarbeiter des Nutzers und andere Personen, denen er einen Zugang gibt
• Teilnehmer von Schulungen und weitere Personen, die in HACCP-Einträgen genannt sind
• Ansprechpartner und Beschäftigte von Lieferanten
• Personen an den Standorten der Automaten, etwa Vermieter oder Betreiber des Aufstellorts
• Personen, die in hochgeladenen Belegen oder in Freitext genannt sind

5. Daten, für die Stovari selbst verantwortlich ist

Nicht im Auftrag, sondern als eigener Verantwortlicher verarbeitet Stovari die Daten, die es für den Vertrag mit dem Nutzer und den Betrieb des Dienstes braucht: das Konto des Inhabers mit Name, Mailadresse, Firma, Anschrift und Umsatzsteuer-ID, Tarif, Abonnement, Zahlungen und Rechnungen, die Zustimmung zu den Rechtstexten, Anfragen an den Support sowie technische Nutzungsereignisse und Fehlermeldungen, mit denen Stovari Fehler sucht und den Dienst verbessert. Dafür gilt die Datenschutzerklärung.

6. Weisungen

Stovari verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Nutzers, auch soweit es um eine Übermittlung in ein Drittland geht. Weisungen sind die Nutzung von App und Cloud mit ihren Einstellungen, also etwa wer einen Zugang bekommt, welche Funktionen eingeschaltet sind und welche Daten eingetragen, exportiert oder gelöscht werden, sowie Weisungen, die der Nutzer in Textform an info@stovari.de gibt. Weisungen in Textform nimmt Stovari vom Inhaber des Kontos und von den Admins seiner Firma an.

Ist Stovari nach dem Recht der Europäischen Union oder Deutschlands zu einer Verarbeitung verpflichtet, teilt Stovari dem Nutzer diese rechtlichen Anforderungen vorher mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Ist Stovari der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt Stovari das dem Nutzer unverzüglich mit und darf die Weisung aussetzen, bis der Nutzer sie bestätigt oder ändert.

Weisungen, die über den Leistungsumfang der Nutzungsbedingungen hinausgehen, führt Stovari nur nach Absprache aus; den Mehraufwand kann Stovari angemessen in Rechnung stellen.

7. Vertraulichkeit

Stovari setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Pflicht gilt über das Ende ihrer Tätigkeit hinaus. Auf Auftragsdaten greift Stovari nur zu, soweit es für Betrieb, Sicherheit, Fehlerbehebung oder eine Weisung des Nutzers nötig ist.

8. Technische und organisatorische Maßnahmen

Stovari trifft die Maßnahmen nach Art. 32 DSGVO. Derzeit sind das:

• Speicherort: Datenbank und Dateispeicher liegen bei Supabase in der Region Frankfurt.
• Verschlüsselung: App, Cloud und Server tauschen Daten nur verschlüsselt über TLS (HTTPS) aus. Gespeicherte Daten verschlüsselt Supabase nach eigener Zusage mit AES-256.
• Trennung der Betriebe: Auf allen Tabellen der Datenbank gelten Zeilenrechte (Row Level Security). Ein Zugang sieht nur die Daten seiner eigenen Firma.
• Rechte im Betrieb: Der Nutzer vergibt Rollen und Einzelrechte, etwa ob ein Mitarbeiter Einkaufspreise, Verkaufspreise, Umsätze und Berichte sieht oder Produkte anlegen, bearbeiten und löschen darf. Diese Rechte setzt die Datenbank durch, nicht nur die App.
• Protokolle: Buchungen und HACCP-Einträge lassen sich in App und Cloud nicht ändern; eine Korrektur ist ein neuer Eintrag. Jeder HACCP-Eintrag hält fest, wer ihn wann erfasst hat.
• Anmeldung: nur mit Mailadresse und Passwort. App und Cloud verlangen Passwörter mit mindestens 8 Zeichen, Groß- und Kleinbuchstaben und einer Zahl. Die Mailadresse wird bei der Registrierung mit einem Code bestätigt. Vor dem Export aller Daten und vor dem Löschen des Kontos fragt die App das Passwort erneut ab.
• Dateien: Belege, Fotos und Profilbilder liegen in Ablagen, die nicht öffentlich sind.
• Zugangsschlüssel: Die Schlüssel zur Telemetrie können Nutzer der App nicht auslesen; verwendet werden sie nur von den Serverfunktionen.
• Missbrauchsschutz: Die Serverfunktionen begrenzen die Zahl der Anfragen je Nutzer und Aktion.
• Eingriffe der Verwaltung: Ändernde Eingriffe von Administratoren bei Stovari, etwa das Löschen eines Kontos oder eine Änderung des Tarifs, werden mit Zeitpunkt und handelnder Person protokolliert.
• Sicherung: Supabase sichert die Datenbank im bezahlten Tarif, den Stovari nutzt, täglich.
• Überprüfung: Stovari prüft Änderungen vor der Auslieferung mit automatischen Tests, darunter Tests der Zugriffsrechte, und passt die Maßnahmen an, wenn sich Technik oder Risiken ändern.

Stovari darf die Maßnahmen durch gleichwertige oder bessere ersetzen. Das Schutzniveau darf dabei nicht sinken.

9. Unterauftragsverarbeiter

Der Nutzer erteilt Stovari die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Welche Stovari bei Vertragsschluss einsetzt, steht in der Liste am Ende dieses Vertrags.

Will Stovari einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, informiert Stovari den Nutzer mindestens 14 Tage vorher per Mail an die Anmeldeadresse seines Kontos oder durch einen Hinweis in der App und passt die Liste an. Der Nutzer kann der Änderung innerhalb dieser Frist in Textform widersprechen, wenn er dafür einen sachlichen Grund im Datenschutz hat. Finden beide keine Lösung, kann der Nutzer den Nutzungsvertrag zu dem Tag kündigen, ab dem der neue Unterauftragsverarbeiter eingesetzt wird.

Stovari erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag Stovari auferlegt, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Bei großen Anbietern geschieht das über deren Vertrag zur Auftragsverarbeitung (DPA). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet Stovari dem Nutzer dafür nach Art. 28 Abs. 4 DSGVO, im Rahmen der Haftungsregeln der Nutzungsbedingungen.

10. Ort der Verarbeitung

Stovari speichert Auftragsdaten in der Europäischen Union: Datenbank und Dateispeicher liegen in Frankfurt, die Cloud läuft bei Vercel mit der Serverregion Frankfurt. Die Serverfunktionen von Supabase laufen in der Region, die der jeweiligen Anfrage am nächsten liegt.

In ein Land außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums gelangen Auftragsdaten nur über die Unterauftragsverarbeiter der Liste und nur, wenn für das Land ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO) oder Standardvertragsklauseln vereinbart sind (Art. 46 Abs. 2 lit. c DSGVO).

11. Rechte betroffener Personen

Stovari unterstützt den Nutzer mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten, etwa auf Auskunft, Berichtigung, Löschung oder Datenübertragbarkeit.

Vieles erledigt der Nutzer selbst in der App: Er kann Daten ansehen, berichtigen und löschen, Mitarbeiter entfernen, mit „Meine Daten exportieren“ unter Datenschutz & Rechtliches die Daten seiner Firma als Datei erhalten und sein Konto löschen. Buchungen und HACCP-Einträge lässt die App zum Schutz der Protokolle nicht ändern; braucht der Nutzer dort eine Berichtigung oder Löschung, nimmt Stovari sie auf seine Weisung in Textform vor. Aufwand, der über die Funktionen der App hinausgeht, kann Stovari angemessen in Rechnung stellen, soweit Stovari ihn nicht selbst verursacht hat.

Wendet sich eine betroffene Person mit einem solchen Antrag direkt an Stovari, leitet Stovari ihn unverzüglich an den Nutzer weiter und beantwortet ihn nicht selbst, solange der Nutzer nichts anderes anweist.

12. Unterstützung nach Art. 32 bis 36 DSGVO

Stovari unterstützt den Nutzer unter Berücksichtigung der Art der Verarbeitung und der Informationen, die Stovari vorliegen, bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, bei der Benachrichtigung betroffener Personen, bei einer Datenschutz-Folgenabschätzung und bei einer vorherigen Konsultation der Aufsichtsbehörde. Dazu gibt Stovari die nötigen Auskünfte über die Verarbeitung in Textform. Aufwand, der über die Funktionen der App hinausgeht, kann Stovari angemessen in Rechnung stellen, soweit Stovari ihn nicht selbst verursacht hat.

13. Verletzungen des Schutzes von Auftragsdaten

Stovari meldet dem Nutzer eine Verletzung des Schutzes von Auftragsdaten unverzüglich, nachdem Stovari davon erfahren hat, per Mail an die Anmeldeadresse seines Kontos. Die Meldung nennt, soweit bekannt, die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Ansprechstelle. Was noch nicht feststeht, reicht Stovari nach, sobald es bekannt ist.

Stovari ergreift unverzüglich die Maßnahmen, die nötig sind, um die Daten zu sichern und mögliche nachteilige Folgen für die betroffenen Personen zu mindern.

14. Löschung und Rückgabe nach Vertragsende

Endet der Nutzungsvertrag, löscht der Nutzer sein Konto in der App unter Profil › Persönliche Daten › Konto löschen, oder Stovari löscht es auf seine Weisung in Textform. Mit dem Konto löscht Stovari alle Auftragsdaten der Firma: die Daten in der Datenbank, gespeicherte Dateien wie Belege und Fotos, die Einladungen und die Zuordnung der Mitarbeiter zur Firma. Eine Kopie behält Stovari nicht zurück.

Vor der Löschung kann der Inhaber des Kontos die Daten der Firma mit „Meine Daten exportieren“ unter Datenschutz & Rechtliches als Datei sichern. Was der Export nicht enthält, etwa die Liste der Mitarbeiter und gespeicherte Dateien, gibt Stovari dem Nutzer auf Weisung in Textform vor der Löschung heraus.

Die Zugänge der Mitarbeiter verlieren mit der Löschung die Verbindung zur Firma. Die Zugänge selbst, also Name, Mailadresse und gegebenenfalls Profilbild, bleiben bestehen, bis der Mitarbeiter seinen Zugang löscht oder der Nutzer Stovari in Textform anweist, sie zu löschen.

Aus den Sicherungen von Supabase verschwinden die Daten, sobald diese nach den Fristen von Supabase überschrieben sind. Bis dahin dienen sie nur der Wiederherstellung nach einem Ausfall.

15. Nachweise und Kontrollen

Stovari stellt dem Nutzer auf Anfrage in Textform alle Informationen zur Verfügung, die er braucht, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen, etwa eine Beschreibung der Maßnahmen nach Abschnitt 8 und die Verträge mit den Unterauftragsverarbeitern, soweit Stovari sie weitergeben darf.

Der Nutzer oder ein von ihm beauftragter Prüfer kann die Einhaltung dieses Vertrags auch durch Inspektionen überprüfen. Der Prüfer muss zur Verschwiegenheit verpflichtet sein und darf nicht für einen Wettbewerber von Stovari tätig sein. Eine Inspektion meldet der Nutzer mindestens 14 Tage vorher in Textform an; sie findet zu üblichen Geschäftszeiten statt und stört den Betrieb von Stovari nicht mehr als nötig. Ohne besonderen Anlass genügt eine Inspektion im Jahr. Den Nachweis kann Stovari vorrangig durch Auskünfte und Unterlagen nach dem ersten Absatz erbringen. Die Kosten einer Inspektion trägt der Nutzer, auch den Aufwand von Stovari, außer sie deckt einen erheblichen Verstoß von Stovari gegen diesen Vertrag auf. Die Auftragsdaten liegen bei den Dienstleistern der Liste; für deren Rechenzentren gelten die Nachweise dieser Dienstleister.

16. Haftung und Vorrang

Gegenüber betroffenen Personen haften Nutzer und Stovari nach Art. 82 DSGVO. Im Verhältnis zwischen Nutzer und Stovari gelten für alle Ansprüche aus diesem Vertrag die Regeln der Nutzungsbedingungen zur Haftung. Widerspricht eine Regel der Nutzungsbedingungen einer Pflicht dieses Vertrags zum Schutz der Auftragsdaten, geht dieser Vertrag vor; die Regeln zur Haftung bleiben davon unberührt.

Liste der Unterauftragsverarbeiter

Diese Dienstleister setzt Stovari beim Betrieb von App und Cloud ein. Soweit sie Auftragsdaten verarbeiten, genehmigt der Nutzer sie nach Abschnitt 9 als Unterauftragsverarbeiter. Was ein Dienstleister erhält, steht bei ihm unter Datenübermittlung. Vendon und Nayax erhalten von Stovari nur den Zugangsschlüssel des Nutzers und liefern Daten aus seinem eigenen Konto. Stripe sowie Apple und Google als Betreiber der Stores erhalten keine Auftragsdaten; sie stehen hier, damit die Liste vollständig ist.

Supabase Inc.

Funktion: Datenbank, Authentifizierung, Dateispeicher und Serverfunktionen
Sitz: San Francisco, USA. Datenbankregion: Frankfurt, Deutschland; die Daten liegen auf Servern in der EU.
Datenübermittlung: alle Auftragsdaten, die in Stovari gespeichert sind
Drittlandtransfer: über die Standardvertragsklauseln im DPA von Supabase abgesichert
Datenschutz: https://supabase.com/privacy
DPA: über das Supabase Dashboard verfügbar

Vercel Inc.

Funktion: Betrieb der Cloud, der Weboberfläche von Stovari
Sitz: Covina, Kalifornien, USA. Serverregion: Frankfurt, Deutschland.
Datenübermittlung: die Auftragsdaten, die in der Cloud angezeigt oder eingetragen werden
Drittlandtransfer: über die Standardvertragsklauseln im DPA von Vercel abgesichert
Datenschutz: https://vercel.com/legal/privacy-policy

united-domains GmbH

Funktion: Versand der Mails von Stovari, etwa mit Anmelde- und Einladungscodes
Sitz: Starnberg, Deutschland.
Datenübermittlung: Mailadresse und gegebenenfalls Name der Empfänger sowie der Inhalt der Mail
Datenschutz: https://www.united-domains.de/unternehmen/datenschutz/

Stripe Payments Europe Ltd.

Funktion: Zahlungsabwicklung und Abo-Verwaltung für einen auf der Website von Stovari geschlossenen kostenpflichtigen Vertrag, nur bei einem kostenpflichtigen Tarif
Sitz: Dublin, Irland (EU); Konzernmutter Stripe, Inc., USA
Datenschutz: https://stripe.com/de/privacy
Datenübermittlung: Name, Mailadresse, Zahlungs- und Rechnungsdaten des Inhabers, keine Auftragsdaten; Drittlandtransfer über EU-Standardvertragsklauseln abgesichert
DPA verfügbar: Ja

Vendon SIA

Funktion: Telemetrie-Daten für Warenautomaten, nur bei aktiver Verbindung durch den Nutzer
Sitz: Riga, Lettland (EU)
Datenschutz: https://vendon.net/privacy-policy
Datenübermittlung: Stovari sendet den API-Key des Nutzers zur Authentifizierung und ruft aus seinem Vendon-Konto Automaten-, Umsatz-, Lager- und Bestandsdaten ab. Vom Vendon-Konto werden außerdem die dort hinterlegten Kontaktangaben empfangen, darunter Name und Mailadresse des Kontoinhabers.

Nayax Ltd.

Funktion: Telemetrie-Daten für Warenautomaten über Nayax Lynx, nur bei aktiver Verbindung durch den Nutzer
Sitz: Herzliya, Israel
Drittlandtransfer: Für Israel besteht ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO, ein zusätzlicher Übermittlungsmechanismus ist daher nicht erforderlich.
Datenschutz: https://www.nayax.com/privacy-policy/
Datenübermittlung: Stovari sendet das Lynx-Token des Nutzers zur Authentifizierung und ruft aus seinem Konto Automaten-, Umsatz- und Bestandsdaten ab.

Google (Gemini API)

Funktion: KI-gestützte Belegerkennung, nur bei Nutzung der Belegerfassung
Anbieter: Google Ireland Ltd. (EU) / Google LLC (USA)
Datenschutz: https://policies.google.com/privacy
Datenübermittlung: Inhalte hochgeladener Belege, z. B. Produktbezeichnungen, Mengen und Preise. Die Verarbeitung dient der automatischen Erkennung der Belegdaten und erfolgt nur, wenn die Person, die den Beleg scannt, eingewilligt hat. Die Übermittlung erfolgt in die USA auf Grundlage der Standardvertragsklauseln.

Google Maps Platform

Funktion: Adressvorschläge und Adressprüfung bei der Eingabe von Standorten
Sitz: Google Ireland Ltd. (EU) / Google LLC (USA)
Datenschutz: https://policies.google.com/privacy
Datenübermittlung: nur die gerade eingegebenen Adress- bzw. Standortangaben, keine Kontodaten

OpenStreetMap Foundation (Nominatim)

Funktion: Adressvorschläge bei der Eingabe von Standorten, alternativ zur Google Maps Platform
Sitz: Vereinigtes Königreich; Server in der EU
Datenschutz: https://osmfoundation.org/wiki/Privacy_Policy
Datenübermittlung: nur die gerade eingegebene Adresse bzw. Postleitzahl, keine Kontodaten

Apple Inc. und Google LLC

Funktion: Vertrieb der App über den App Store und Google Play
Sitz: USA; eine Übermittlung in Drittländer kann stattfinden.
Datenübermittlung: die für Bereitstellung und Betrieb der Stores nötigen Angaben; Apple und Google erheben sie als eigenständige Verantwortliche. Auftragsdaten erhalten sie nicht. Zahlungsdaten verarbeiten sie für Stovari nicht, in der App wird nichts verkauft. Angemeldet wird nur mit Mailadresse und Passwort, nicht über Apple oder Google, und die App versendet keine Push-Benachrichtigungen.
Datenschutz: https://apple.com/privacy und https://policies.google.com/privacy

Auskunft

Der Nutzer kann jederzeit Auskunft über die eingesetzten Unterauftragsverarbeiter und die Datenübermittlungen verlangen, per Mail an info@stovari.de.