Auftragsverarbeitung

Auftragsverarbeitungsvertrag (AVV)

Stand: August 2026 · Ergänzung zu den Nutzungsbedingungen der Fuga POS

Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch die Fuga POS („Auftragsverarbeiter“) im Auftrag des Kunden („Verantwortlicher“) im Sinne von Art. 28 DSGVO, soweit der Kunde unsere cloudbasierte Kassensoftware und zugehörige Dienste nutzt und dabei personenbezogene Daten (z. B. Gäste-, Personal- oder Lieferantendaten) in den Systemen verarbeitet werden.

Dieser AVV ist integraler Bestandteil der vertraglichen Beziehung. Bei Widerspruch zu den allgemeinen Nutzungsbedingungen gehen die Bestimmungen dieses AVV im Hinblick auf den Datenschutz vor.

1. Begriffsbestimmungen

• AVV – dieser Auftragsverarbeitungsvertrag
• Verantwortlicher – der Kunde (Gastronomiebetrieb / Unternehmen)
• Auftragsverarbeiter – Fuga POS (Anbieter gemäß Impressum)
• Daten – personenbezogene Daten im Rahmen der Dienste
• Verarbeitung – jede Operation im Sinne von Art. 4 Nr. 2 DSGVO
• Datenpanne – Verletzung des Schutzes personenbezogener Daten

2. Gegenstand und Dauer

Gegenstand ist die weisungsgebundene Verarbeitung im Rahmen der Fuga POS Cloud-Kasse, Backoffice, Reporting, optionaler Integrationen (DATEV, TSE, Küchenmonitor, Reservierungen) und des Supports. Dauer: Vertragslaufzeit zuzüglich gesetzlicher Aufbewahrungs- und Löschfristen.

3. Art, Zweck, Kategorien

Zweck: Betrieb, Wartung und Support der Kassensoftware.
Art: Speichern, Auslesen, Übermitteln an freigegebene Schnittstellen, Löschen.
Betroffene: Gäste, Mitarbeiter, Lieferanten u. a. nach Konfiguration des Kunden.
Datenarten: Stammdaten, Belege, TSE-/GoBD-relevante Protokolle, Support-Tickets; keine vollständigen Kartendaten im Klartext, soweit Zahlungsdienstleister zuständig sind.

4. Weisungen

Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen, es sei denn rechtliche Pflicht. Hinweis bei mutmaßlich rechtswidrigen Weisungen.

5. Pflichten des Verantwortlichen

Rechtmäßige Erhebung und Übermittlung; Information der Betroffenen; Wahrnehmung der Betroffenenrechte gegenüber Gästen/Mitarbeitern, soweit er Verantwortlicher ist.

6. Vertraulichkeit

Zugang nur für verpflichtetes Personal und nur im erforderlichen Umfang.

7. TOM

U. a. rollenbasierte Zugänge, TLS, Backups, Firewall-/Update-Prozesse, Protokollierung, Richtlinien und Schulungen – dem Risiko und dem Stand der Technik angemessen.

8. Unterauftragsverarbeiter

Allgemeine Genehmigung für Hosting, Backup, E-Mail, TSE- und vergleichbare Dienste; Information bei wesentlichen Änderungen mit 15-tägiger Widerspruchsfrist bei berechtigtem datenschutzrechtlichem Grund; gleichwertige Pflichten und Haftung des Auftragsverarbeiters.

9. Betroffenenrechte

Unterstützung mit angemessenen Maßnahmen; Weiterleitung erkennbarer Anfragen an den Verantwortlichen.

10. Datenpannen

Meldung ohne schuldhaftes Zögern; Kooperation bei Untersuchung und Abhilfe.

11. Löschung / Rückgabe

Löschung innerhalb von 30 Tagen nach Leistungsende, sofern nicht fristgerecht Rückgabe verlangt oder gesetzliche Aufbewahrung greift.

12. Nachweise und Audits

Auskunft und abgestimmte Audits unter Wahrung von Betriebsgeheimnissen; Zertifikate/Prüfberichte können Audits ersetzen.

13. Schluss

Deutsches Recht; Gerichtsstand – soweit zulässig – Sitz gemäß Impressum. Maßgeblich ist die veröffentlichte Fassung bzw. ein individueller AVV mit Anlagen.