Vertrag zur Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO zwischen

dem Gastronomiebetrieb, der sich unter keksu.de/registrieren anmeldet oder diesen Vertrag in der Verwaltung bestätigt (nachfolgend „Kunde“ oder „Verantwortlicher“)

und

The Bike Café GmbH
Wilhelmstr. 91, 10117 Berlin
vertreten durch den Geschäftsführer Ziyu Zhang
Amtsgericht Düsseldorf, HRB 104649
(nachfolgend „Keksu“ oder „Auftragsverarbeiter“)

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Vertrag über die Nutzung der Software Keksu (nachfolgend „Hauptvertrag“, geregelt durch die Allgemeinen Geschäftsbedingungen). Er wird nach Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen, indem der Kunde ihn bei der Registrierung oder in der Verwaltung bestätigt. Keksu speichert Version, Zeitpunkt, IP-Adresse und bestätigenden Nutzer und übersendet dem Kunden eine Kopie als PDF.

1. Gegenstand und Dauer

1.1 Gegenstand ist die Bereitstellung der Software Keksu mit den vom Kunden genutzten Funktionen: Kasse mit Belegen und Abschlüssen, Technische Sicherheitseinrichtung, Speisekarte, QR-Bestellung, Personalverwaltung mit Schichtplan, Zeiterfassung und Mitarbeiter-App, Gutscheine und Stempelkarten, Betriebswebseite, TV-Anzeige, To-Go-Terminal, KI-Assistent, Integrationen zu Drittsystemen und Verwaltung mehrerer Standorte. Keksu verarbeitet dabei personenbezogene Daten im Auftrag des Kunden.

1.2 Die Laufzeit entspricht der Laufzeit des Hauptvertrags. Dieser Vertrag endet mit dem Hauptvertrag und, soweit Daten noch gespeichert sind, mit deren Löschung nach Ziffer 11.

2. Art, Zweck und Umfang der Verarbeitung

2.1 Art der Verarbeitung: Erhebung über die Oberflächen der Software, Speicherung, Anzeige, Auswertung, Übermittlung an die in Anlage 2 genannten Unterauftragsverarbeiter, Sicherung, Export und Löschung.

2.2 Zweck: Führung des Gastronomiebetriebs des Kunden, insbesondere Kassenführung nach § 146a AO und Belegausgabe, Bestellabwicklung, Personalplanung und Zeiterfassung, Lohnvorbereitung, Kundenbindung (Gutscheine, Stempelkarten), Außendarstellung (Webseite, TV-Anzeige) und Unterstützung des Kunden durch KI-Funktionen.

2.3 Der Umfang ergibt sich aus den vom Kunden aktivierten Modulen und den von ihm eingegebenen Daten. Der Kunde bestimmt durch Aktivierung oder Deaktivierung von Modulen, Integrationen und Freigaben in der Verwaltung, welche Verarbeitungen stattfinden.

3. Arten der Daten und Kreis der Betroffenen

3.1 Datenarten: Zugangsdaten (Name, E-Mail-Adresse, Rolle, Passwort als Hash, Anmeldezeitpunkte); Beschäftigtendaten (Stammdaten, Kontaktdaten, Personalnummer, Dokumente der Personalakte, Arbeitszeiten, Schichten, Stempelzeiten, Urlaub, Abwesenheiten, Trinkgeldanteile, Daten für die Lohnvorbereitung einschließlich Bankverbindung, soweit vom Kunden erfasst); besondere Kategorien nach Art. 9 DSGVO: Krankmeldungen und Arbeitsunfähigkeitsbescheinigungen; Bestell- und Belegdaten (Tisch, Artikel, Beträge, Zahlart, Trinkgeld, Belegnummer, Zeitpunkt, Kürzel der bedienenden Person); Gutschein- und Stempelkartendaten (Code, Guthaben, Stempelstand, bei Online-Kauf Name und E-Mail-Adresse des Käufers); Kontaktanfragen über die Betriebswebseite; Gerätekennungen für Push-Nachrichten; Inhalte, die der Kunde für Webseite und TV-Anzeige einstellt.

3.2 Betroffene: Beschäftigte und Bewerber des Kunden, Gäste und Käufer von Gutscheinen, Kontaktpersonen, die Anfragen über die Betriebswebseite stellen, sowie Lieferanten und sonstige Kontaktpersonen, deren Daten der Kunde erfasst.

4. Weisungen

4.1 Keksu verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen erteilt der Kunde durch die Nutzung der Software, insbesondere durch Einstellungen, Freigaben, Exporte und Löschungen in der Verwaltung, sowie ergänzend in Textform an info@keksu.de. Mündliche Weisungen bestätigt Keksu in Textform.

4.2 Hält Keksu eine Weisung für rechtswidrig, weist Keksu den Kunden unverzüglich darauf hin und darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

4.3 Weisungsberechtigt sind die in der Verwaltung als Inhaber oder Manager angelegten Personen. Weisungsempfänger bei Keksu ist der Support unter info@keksu.de.

4.4 Keksu verarbeitet die Daten nicht für eigene Zwecke. Ausgenommen ist die Nutzung in anonymisierter, nicht auf einen Betrieb oder eine Person rückführbarer Form zur Verbesserung der Software (z. B. Prognosen), wie im Hauptvertrag vereinbart.

5. Vertraulichkeit

5.1 Keksu setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind und mit den Datenschutzvorschriften vertraut gemacht wurden. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus.

5.2 Keksu greift auf die Verwaltung des Kunden nur zur Fehlerbehebung, zur Sicherheitsprüfung oder auf Anforderung des Kunden zu. Jeder Zugriff wird mit Zeitpunkt, Person und Anlass protokolliert und ist dem Kunden in der Verwaltung unter „Protokoll“ einsehbar.

6. Technische und organisatorische Maßnahmen

6.1 Keksu trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.

6.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Keksu darf sie anpassen, wenn das Schutzniveau dabei nicht unterschritten wird. Wesentliche Änderungen dokumentiert Keksu in der aktuellen Fassung dieses Vertrags unter keksu.de/avv.html.

6.3 Der Kunde ist für die Sicherheit seiner eigenen Geräte, Netzwerke und Zugangsdaten sowie für die Vergabe und Sperrung von Zugängen seiner Beschäftigten verantwortlich.

7. Unterauftragsverarbeiter

7.1 Der Kunde genehmigt die in Anlage 2 aufgeführten Unterauftragsverarbeiter. Welche davon im Einzelfall eingesetzt werden, hängt von den aktivierten Modulen und Freigaben ab; Anlage 2 nennt die Voraussetzung je Unterauftragsverarbeiter.

7.2 Keksu verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags (Art. 28 Abs. 4 DSGVO) und prüft vor dem Einsatz die Einhaltung der Datenschutzvorschriften. Für Übermittlungen in Drittländer gelten die in Anlage 2 genannten Mechanismen nach Kapitel V DSGVO.

7.3 Beabsichtigt Keksu, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert Keksu den Kunden mindestens vier Wochen vorher per E-Mail an die hinterlegte Adresse des Inhabers und in der Verwaltung. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Einigen sich die Parteien nicht, kann der Kunde den Hauptvertrag für die betroffenen Module zum Zeitpunkt des Wirksamwerdens der Änderung kündigen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.

7.4 Verbindet der Kunde über den MCP-Connector eigene Konten bei KI-Anbietern (z. B. Claude, ChatGPT) oder aktiviert er Integrationen zu Drittsystemen, handelt dieser Anbieter als Auftragsverarbeiter oder Verantwortlicher des Kunden, nicht als Unterauftragsverarbeiter von Keksu. Keksu stellt lediglich die Schnittstelle bereit und protokolliert die Zugriffe. Der Kunde schließt die erforderlichen Verträge mit diesem Anbieter selbst.

7.5 Die Werkzeuge des KI-Assistenten, die Beschäftigtendaten lesen oder ändern, sind standardmäßig abgeschaltet. Schaltet der Kunde sie in der Verwaltung ein, erteilt er damit die Weisung, diese Daten einschließlich der Angabe von Abwesenheitsgründen an Anthropic zu übermitteln. Der Kunde informiert seine Beschäftigten vorher; Keksu stellt dafür eine Vorlage bereit und zeigt den Hinweis in der Mitarbeiter-App zur Kenntnisnahme an.

8. Unterstützung bei Betroffenenrechten

8.1 Keksu unterstützt den Kunden mit den Funktionen der Software bei der Erfüllung von Auskunfts-, Berichtigungs-, Lösch-, Einschränkungs- und Übertragbarkeitsansprüchen (Art. 12 bis 22 DSGVO), insbesondere durch Export-, Änderungs- und Löschfunktionen in der Verwaltung.

8.2 Wendet sich eine betroffene Person unmittelbar an Keksu, leitet Keksu die Anfrage innerhalb von drei Werktagen an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, der Kunde weist Keksu dazu an.

9. Unterstützung bei Sicherheit, Meldepflichten und Folgenabschätzung

9.1 Keksu unterstützt den Kunden bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der Keksu zur Verfügung stehenden Informationen.

9.2 Stellt Keksu eine Verletzung des Schutzes personenbezogener Daten fest, die Daten des Kunden betrifft, informiert Keksu den Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an die E-Mail-Adresse des Inhabers. Die Mitteilung enthält, soweit bekannt, Art der Verletzung, betroffene Datenkategorien und Betroffene, wahrscheinliche Folgen und ergriffene Maßnahmen. Keksu dokumentiert Verletzungen und unterstützt den Kunden bei Meldungen an Aufsichtsbehörden und Betroffene.

9.3 Für eine Datenschutz-Folgenabschätzung oder eine Konsultation der Aufsichtsbehörde stellt Keksu die erforderlichen Informationen über die Verarbeitung und die Maßnahmen nach Anlage 1 zur Verfügung.

10. Nachweise und Kontrollen

10.1 Keksu stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung, insbesondere die aktuelle Fassung der Anlage 1, Zertifikate der Rechenzentren und eine jährliche Selbstauskunft.

10.2 Der Kunde kann nach vorheriger Abstimmung in angemessenen Abständen, in der Regel höchstens einmal jährlich, Überprüfungen einschließlich Inspektionen durchführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen lassen. Keksu kann den Nachweis durch Vorlage aktueller Prüfberichte oder Zertifikate führen. Überprüfungen vor Ort kündigt der Kunde mindestens zwei Wochen vorher an; sie erfolgen zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Den Aufwand von Keksu für Überprüfungen, die über die jährliche Selbstauskunft hinausgehen, trägt der Kunde, soweit nicht die Überprüfung Mängel aufdeckt.

10.3 Keksu informiert den Kunden unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie die Verarbeitung für den Kunden betreffen.

11. Löschung und Rückgabe

11.1 Während der Laufzeit löscht Keksu Daten, wenn der Kunde sie über die Funktionen der Verwaltung löscht oder dies in Textform anweist, soweit nicht gesetzliche Vorschriften oder die Unveränderbarkeit von Kassenaufzeichnungen (§ 146 Abs. 4 AO, § 146a AO) entgegenstehen.

11.2 Nach Ende des Hauptvertrags hält Keksu die Daten 30 Tage zum Export bereit. Der Kunde kann in dieser Frist seine Belege, den DSFinV-K-Export, die TSE-Exporte, Personaldaten und Speisekarte in den angebotenen Formaten (CSV, DSFinV-K, TAR) kostenfrei herunterladen; Keksu weist ihn mit Beginn der Frist per E-Mail darauf hin und bietet den Export an.

11.3 Nach Ablauf der Frist löscht Keksu alle Daten des Kunden mit Ausnahme der in Ziffer 11.4 genannten Kassenaufzeichnungen; in Sicherungen enthaltene Kopien werden innerhalb weiterer 30 Tage durch Überschreiben der Sicherungen gelöscht. Auf Anfrage bestätigt Keksu die Löschung in Textform.

11.4 Die Aufbewahrung von Kassenaufzeichnungen und Lohnunterlagen nach § 147 AO, § 257 HGB und § 28f SGB IV ist Pflicht des Kunden. Mit diesem Vertrag weist der Kunde Keksu an, die Kassenaufzeichnungen (Belege, Kassenbuch, Abschlüsse, TSE-Archiv und die Grundlagen des DSFinV-K-Exports) nach Vertragsende kostenfrei für zehn Jahre gesperrt aufzubewahren, ausschließlich zu dem Zweck, sie dem Kunden oder auf seine Weisung der Finanzverwaltung herauszugeben. Der Kunde kann diese Weisung jederzeit in Textform widerrufen und die frühere Löschung verlangen; die Erfüllung seiner Aufbewahrungspflichten liegt dann allein bei ihm. Personaldaten, Gäste- und Käuferdaten werden von dieser Aufbewahrung nicht erfasst; Lohnunterlagen exportiert der Kunde innerhalb der Frist nach Ziffer 11.2. Daneben bewahrt Keksu Daten auf, die es aufgrund eigener gesetzlicher Pflichten aufbewahren muss (insbesondere Rechnungsunterlagen über die Vergütung des Kunden); diese werden nach Ablauf der Frist gelöscht und bis dahin nur für diesen Zweck verarbeitet.

12. Haftung

12.1 Für die Haftung gelten Art. 82 DSGVO und die Haftungsregelungen des Hauptvertrags. Die Parteien stellen sich im Innenverhältnis von Ansprüchen frei, soweit die jeweils andere Partei den Verstoß zu verantworten hat.

12.2 Verstößt der Kunde gegen seine Pflichten als Verantwortlicher, insbesondere die Information seiner Beschäftigten und Gäste, die Rechtmäßigkeit der von ihm veranlassten Verarbeitungen oder die Sicherheit seiner Zugänge, haftet er dafür allein.

13. Schlussbestimmungen

13.1 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in datenschutzrechtlichen Fragen vor.

13.2 Keksu kann diesen Vertrag ändern, wenn sich Rechtslage, Rechtsprechung, Vorgaben von Aufsichtsbehörden, Unterauftragsverarbeiter oder Funktionen der Software ändern. Änderungen kündigt Keksu mindestens vier Wochen vorher per E-Mail und in der Verwaltung an; für Änderungen der Anlage 2 gilt Ziffer 7.3. Der Kunde bestätigt die neue Fassung in der Verwaltung; bis zur Bestätigung gilt die bisherige Fassung fort, soweit sie nicht gegen zwingendes Recht verstößt.

13.3 Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Berlin, soweit der Kunde Kaufmann ist. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

13.4 Der Kunde kann diesen Vertrag mit seinen Angaben und den Nachweis der Annahme jederzeit in der Verwaltung unter „Einstellungen › Betrieb › Vertragsunterlagen“ als PDF abrufen.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutritts- und Zugangskontrolle zum Rechenzentrum: Betrieb ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland (ISO/IEC 27001 zertifiziert). Zutritt nur für autorisiertes Personal von Hetzner. Serverzugang des Auftragsverarbeiters nur über SSH mit Schlüsselverfahren, kein Passwort-Login, Zugriff auf benannte Administratoren beschränkt.

Zugangskontrolle zur Software: Persönliche Zugänge je Nutzer, Passwörter nur als Hash (bcrypt) gespeichert, Rollen Inhaber, Manager, Mitarbeiter mit abgestuften Rechten, Begrenzung von Anmeldeversuchen, automatischer Ablauf von Sitzungen nach 30 Tagen ohne Nutzung, Zwei-Faktor-Authentifizierung (TOTP) für die Administratorzugänge des Auftragsverarbeiters, Kassen- und Mitarbeiter-Oberflächen mit eigener PIN beziehungsweise eigenem Zugang.

Zugriffskontrolle und Mandantentrennung: Jede Datenbankabfrage ist an die Kennung des Kunden gebunden (tenant_id); Daten verschiedener Kunden sind logisch getrennt. Schutz vor Cross-Site-Request-Forgery, Content Security Policy, Schutz vor Wiederholungsangriffen auf Schnittstellen, serverseitige Rechteprüfung bei jedem Aufruf, automatische Sperrung auffälliger IP-Adressen (fail2ban).

Weitergabekontrolle: Alle Verbindungen ausschließlich über TLS mit HSTS. E-Mail-Versand über authentifizierten Versanddienst. Schriften, Skripte und Bilder werden vom eigenen Server ausgeliefert; es werden keine Inhalte von Drittservern in die Oberflächen geladen. Übermittlungen an Unterauftragsverarbeiter nur verschlüsselt und nur im in Anlage 2 beschriebenen Umfang.

Eingabekontrolle: Protokollierung von Änderungen in der Verwaltung (Protokoll je Kunde), Protokoll der Werkzeugaufrufe des KI-Assistenten und des MCP-Connectors, Protokoll jedes Support-Zugriffs des Auftragsverarbeiters mit Zeitpunkt, Person und Anlass, einsehbar durch den Kunden unter „Protokoll“.

Auftragskontrolle: Verarbeitung nur im Rahmen dieses Vertrags und der Funktionen der Software. Unterauftragsverarbeiter werden vertraglich nach Art. 28 Abs. 4 DSGVO verpflichtet; Verträge liegen vor. Mitarbeiter des Auftragsverarbeiters sind zur Vertraulichkeit verpflichtet.

Verfügbarkeitskontrolle: Tägliche Sicherung der Datenbanken mit Aufbewahrung von 30 Tagen, Sicherungen mit AES-256 verschlüsselt und nur mit einem getrennt verwahrten Schlüssel lesbar, zusätzliche Snapshots des Hosting-Anbieters, Überwachung der Dienste mit Alarmierung, Offline-Puffer der Kassen-App bei Verbindungsausfall, unterbrechungsfreie Stromversorgung und redundante Anbindung durch das Rechenzentrum.

Verschlüsselung besonders sensibler Daten: Dokumente der Personalakte (Arbeitsverträge, Ausweiskopien, Arbeitsunfähigkeitsbescheinigungen und sonstige Mitarbeiterunterlagen) werden außerhalb des Web-Verzeichnisses und im Ruhezustand mit authentifizierter Verschlüsselung (libsodium XSalsa20-Poly1305, 256-Bit-Schlüssel, zufällige Nonce je Datei) gespeichert. Der Schlüssel liegt getrennt von den Dateien und von den Datenbank-Sicherungen. Der Abruf erfolgt ausschließlich nach Anmeldung und Berechtigungsprüfung (Inhaber oder Manager des Betriebs beziehungsweise die betroffene Person für eigene Dokumente) über die Anwendung, nie über eine direkte Adresse. Passwörter werden nur als Hash gespeichert, Zugangsdaten zu Drittdiensten verschlüsselt.

Trennungskontrolle: Produktivbetriebe und Demo-Betriebe sind getrennt; Testzugänge arbeiten nur mit fiktiven Daten. Entwicklungs- und Produktivumgebung sind getrennt.

Löschkonzept: Automatisierte tägliche Löschläufe nach den in Ziffer 11 und in der Datenschutzerklärung genannten Fristen; Löschlauf für Kundendaten 30 Tage nach Vertragsende (Kassenaufzeichnungen gesperrt nach Ziffer 11.4); dokumentierte Löschung auf Anfrage.

Organisation: Benannte Ansprechperson für Datenschutz (Geschäftsführung), Verfahren zur Meldung von Datenschutzverletzungen binnen 48 Stunden an den Kunden, regelmäßige Sicherheitsprüfungen der Software, Aktualisierung von Betriebssystem und Komponenten.

Anlage 2: Unterauftragsverarbeiter

Stand 18.10.2026. Eingesetzt werden nur die Unterauftragsverarbeiter, deren Voraussetzung (Modul, Freigabe, Verbindung) der Kunde erfüllt.

Nicht als Unterauftragsverarbeiter gelten Anbieter, mit denen der Kunde eigene Verträge schließt (Zahlungsanbieter des Kunden, Drittsysteme über Integrationen, eigene KI-Konten über den MCP-Connector, Google für das Unternehmensprofil des Kunden).

Fassung 2026-10-18 · The Bike Café GmbH, Wilhelmstr. 91, 10117 Berlin · Geschäftsführer Ziyu Zhang · Amtsgericht Düsseldorf, HRB 104649 · USt-IdNr. DE450369536 · info@keksu.de