Vertrag zur Auftragsverarbeitung

zwischen dem Betrieb, der Local Stories nutzt (nachfolgend „Verantwortlicher“), und der Limbach Asset Services GmbH, Willscheider Weg 14–24, 53560 Vettelschoß (nachfolgend „Auftragsverarbeiter“). Dieser Vertrag wird mit Abschluss der Nutzungsbedingungen Local Stories Bestandteil des Vertragsverhältnisses (Art. 28 Abs. 3 DSGVO). Auf Wunsch stellen wir ihn als unterschriebenes Dokument bereit: gastro@simplefy-software.de.

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software Local Stories (Erstellung, Speicherung und Auslieferung von Stories, Story-Seite, Einbindung auf der Website, Reichweitenmessung). Die Dauer entspricht der Laufzeit der Nutzungsbedingungen.

2. Art und Zweck, Datenkategorien, betroffene Personen

Verarbeitet werden: Konto- und Kontaktdaten des Verantwortlichen und seiner Teammitglieder (Name, E-Mail, Telefon, Rechnungsdaten), Inhalte der Stories (Bilder, Videos, Texte, die Personen zeigen können), Nutzungsdaten der Story-Seite und des Widgets (Aufrufe, Öffnungen, Klicks ohne Cookies, gekürzte IP-Adressen in Server-Logs). Betroffene Personen sind Mitarbeitende des Verantwortlichen, in Stories abgebildete Personen und Besucher der Story-Seite bzw. Website des Verantwortlichen.

3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen; die Nutzung der Software gilt als Weisung. Er verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, trifft die technischen und organisatorischen Maßnahmen nach Ziffer 5, unterstützt den Verantwortlichen bei der Beantwortung von Betroffenenanfragen und bei der Meldung von Datenschutzverletzungen, informiert unverzüglich über eine Verletzung des Schutzes personenbezogener Daten und weist auf Weisungen hin, die nach seiner Auffassung gegen Datenschutzrecht verstoßen.

4. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu: Base44 (Plattform, Datenbank, E-Mail-Versand), Cloudflare, Inc. (Auslieferung, Schutz vor Angriffen), Stripe Payments Europe, Ltd. (Zahlungsabwicklung), Google Ireland Ltd. (Gemini, KI-Bilder; Schriften), OpenAI Ireland Ltd. (KI-Texte). Übermittlungen in Drittländer erfolgen auf Grundlage des EU-US Data Privacy Framework oder von Standardvertragsklauseln. Über Änderungen informiert der Auftragsverarbeiter vorab in Textform; der Verantwortliche kann aus wichtigem Grund innerhalb von vier Wochen widersprechen.

5. Technische und organisatorische Maßnahmen

Verschlüsselte Übertragung (TLS) und Speicherung, Zugriff nur mit persönlichem Login und rollenbasierten Rechten, Trennung der Daten nach Konten auf Datenbankebene, Feldschutz für sicherheitsrelevante Felder, Begrenzung öffentlicher Schnittstellen, Protokollierung von Änderungen, regelmäßige Sicherungen durch den Plattformanbieter, Vier-Augen-Prinzip bei Änderungen an der Software, Beschränkung des Zugriffs auf Kundendaten auf Support-Fälle.

6. Rechte des Verantwortlichen

Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen, in der Regel durch Auskünfte und Nachweise des Auftragsverarbeiters, in begründeten Fällen durch eine Prüfung nach vorheriger Ankündigung während der üblichen Geschäftszeiten.

7. Löschung und Rückgabe

Der Verantwortliche kann seine Daten jederzeit in der App einsehen und exportieren (Bilder, Videos, Texte) und sein Konto selbst löschen. Nach Vertragsende löscht der Auftragsverarbeiter alle personenbezogenen Daten innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

8. Haftung und Schlussbestimmungen

Für die Haftung gelten die Nutzungsbedingungen. Es gilt deutsches Recht. Änderungen dieses Vertrags bedürfen der Textform.

Stand: September 2026