Art. 28 DSGVO · zwischen dem Kunden als Verantwortlichem und POSolid als Auftragsverarbeiter
Version 2026-08-27 · Dieser Vertrag wird in englischer und polnischer Sprache veröffentlicht. Die deutsche Fassung ist eine Übersetzung zur besseren Verständlichkeit; die übrigen Sprachen der Website zeigen den englischen Text.
Dieser Auftragsverarbeitungsvertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen und gilt immer dann, wenn POSolid personenbezogene Daten im Auftrag eines Kunden verarbeitet. Mit der Annahme der AGB bei der Anlage einer Organisation wird auch dieser Vertrag angenommen. Soweit er in Fragen des Datenschutzes von den AGB abweicht, geht dieser Vertrag vor.
Der Kunde — die Organisation, der das POSolid-Konto gehört — ist Verantwortlicher für die personenbezogenen Daten, die er und seine Mitarbeitenden in den Dienst eingeben. POSolid ist Auftragsverarbeiter dieser Daten. Für unsere eigenen Konto-, Abrechnungs- und Supportunterlagen sind wir Verantwortlicher; für diese Verarbeitung gilt unsere Datenschutzerklärung.
Wir verarbeiten die personenbezogenen Daten des Kunden ausschließlich zum Betrieb der POSolid-Plattform — Erfassung und Speicherung von Bestellungen, Belegdruck, Küchenmonitor, Reservierungen, Warenwirtschaft, Dienstplanung, Lohnberechnung, Auswertungen und den zugehörigen Support — für die Dauer des Abonnements des Kunden und für den in Ziffer 10 genannten weiteren Zeitraum.
Betroffene Personen: die Mitarbeitenden des Kunden, die Gäste des Kunden, soweit der Kunde sie erfasst, sowie die Geschäftskontakte des Kunden. Personenbezogene Daten: Namen und Kontaktdaten, Zugangsdaten und PINs, Rollen und Berechtigungen, Arbeitszeit-, Abwesenheits- und Vergütungsdaten, Reservierungs- und Bestelldaten sowie technische Daten wie Geräte- und Sitzungskennungen. Kartennummern werden von POSolid nicht verarbeitet; Kartendaten werden vom Zahlungsdienstleister verarbeitet. Besondere Kategorien personenbezogener Daten werden für den Dienst nicht benötigt.
Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen, es sei denn, das Recht der Union oder eines Mitgliedstaats verpflichtet uns zu etwas anderem — in diesem Fall informieren wir den Kunden vor der Verarbeitung, sofern dieses Recht es nicht verbietet. Die Konfiguration und Nutzung des Dienstes durch den Kunden stellt eine solche Weisung dar. Sind wir der Auffassung, dass eine Weisung gegen das Datenschutzrecht verstößt, weisen wir darauf hin.
Alle Personen, die wir zur Verarbeitung der personenbezogenen Daten des Kunden befugen, sind zur Vertraulichkeit verpflichtet; diese Pflicht besteht über das Ende ihrer Tätigkeit hinaus fort. Zugriff erhalten sie nur in dem Umfang, den ihre Aufgabe erfordert.
Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Verschlüsselung der Datenübertragung, rollen- und berechtigungsbasierte Zugriffskontrolle, Trennung der Daten jeder Organisation mit optionaler eigener Datenbank, eingeschränkter interner Zugriff nach dem Need-to-know-Prinzip, regelmäßige Sicherungen sowie Protokollierung administrativer Vorgänge. Wir überprüfen diese Maßnahmen fortlaufend, während sich der Dienst weiterentwickelt.
Der Kunde erteilt uns die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Dies sind ein Hosting-Anbieter, ein E-Mail-Versanddienst, ein Zahlungsdienstleister sowie für die optionalen KI-Menüwerkzeuge ein Übersetzungsdienst und ein Bilderkennungsdienst; die aktuelle Liste mit Namen und Rolle jedes Unterauftragsverarbeiters ist auf Anfrage unter contact@posolid.com erhältlich. Vor der Hinzunahme oder dem Austausch eines Unterauftragsverarbeiters informieren wir mindestens 30 Tage im Voraus per E-Mail; der Kunde kann aus berechtigten Datenschutzgründen widersprechen. Lässt sich der Widerspruch nicht ausräumen, kann der Kunde das Abonnement kündigen und erhält eine anteilige Erstattung für den nicht genutzten Zeitraum. Jeder Unterauftragsverarbeiter wird zu Pflichten verpflichtet, die denen dieses Vertrages entsprechen; für deren Erfüllung bleiben wir verantwortlich.
Anwendungsdaten werden auf Servern in der Europäischen Union gespeichert. Soweit ein Unterauftragsverarbeiter personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der Europäischen Kommission oder eines Angemessenheitsbeschlusses, gegebenenfalls ergänzt um erforderliche zusätzliche Maßnahmen.
Der Dienst stellt dem Kunden die Werkzeuge bereit, um personenbezogene Daten selbst einzusehen, zu berichtigen, zu exportieren und zu löschen. Darüber hinaus unterstützen wir den Kunden bei Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation sowie bei den Pflichten zu Sicherheit und Datenschutzverletzungen nach Art. 32 bis 36 DSGVO, unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen.
Wir benachrichtigen den Kunden unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die von uns für ihn verarbeitete Daten betrifft — mit den zu diesem Zeitpunkt verfügbaren Informationen und weiteren Einzelheiten, sobald sie vorliegen — und ergreifen angemessene Maßnahmen zur Eindämmung und Behebung.
Solange das Konto besteht, kann der Kunde seine Geschäftsdaten jederzeit über die Einstellungen exportieren. Endet das Abonnement oder läuft eine kostenlose Testphase ohne Zahlung aus, bewahren wir die Daten 30 Tage auf, damit ein Export noch angefordert werden kann, und löschen sie danach; der Kunde kann eine frühere Löschung verlangen. Das Löschen einer Organisation entfernt ihre Daten aus allen Diensten der Plattform. Sicherungen werden im Zuge der Rotation überschrieben und dabei bereinigt. Daten, zu deren Aufbewahrung uns das Recht der Union oder eines Mitgliedstaats verpflichtet, bewahren wir nur so lange auf, wie dieses Recht es verlangt.
Auf Anfrage stellen wir die Informationen bereit, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind. Der Kunde kann uns einmal in zwölf Monaten nach schriftlicher Ankündigung mit einer Frist von 30 Tagen während der Geschäftszeiten überprüfen — selbst oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer —, ohne den Betrieb zu stören und auf eigene Kosten; zusätzlich nach einer Verletzung des Schutzes der für ihn verarbeiteten personenbezogenen Daten.
Dieser Vertrag gilt, solange wir personenbezogene Daten für den Kunden verarbeiten. Er wird in englischer und polnischer Sprache veröffentlicht; weichen die beiden Fassungen voneinander ab, ist für Kunden, die nach polnischem Recht abschließen, die polnische Fassung maßgeblich, für alle anderen die englische. Die deutsche Fassung ist eine Übersetzung zur besseren Verständlichkeit. Fragen und Anliegen zu diesem Vertrag: contact@posolid.com.