Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Dieser AVV regelt die Verarbeitung personenbezogener Daten im Rahmen der Nutzung des Dienstes REVENU (erreichbar unter my.getrevenu.app), betrieben von Hundseder & Görg HoGa Consulting GbR, Carl-Braun-Str. 44, 83209 Prien am Chiemsee (nachfolgend „Auftragsverarbeiter“).

Die Verarbeitung erfolgt für die Dauer der Nutzung des Dienstes durch den Kunden (nachfolgend „Verantwortlicher“).

2. Art und Zweck der Verarbeitung

• Speicherung und Berechnung betriebswirtschaftlicher Kennzahlen auf Basis der vom Verantwortlichen eingegebenen Betriebsdaten
• Speicherung von Artikeln, Zutaten, Rezepturen und Belegen
• Automatische Erstellung monatlicher Daten-Snapshots
• KI-gestützte Extraktion von Belegdaten (über Abacus.AI)
• KI-Analysen (Szenario-Bewertung, Empfehlungen, Upselling-Orakel) — nach dem Prinzip der Datenminimierung aufbereitete Betriebskennzahlen, soweit möglich ohne direkten Personenbezug
• Lesender Import von Buchhaltungsdaten (sevDesk, lexoffice), Personaldaten (Shiftbase) und Beherbergungskennzahlen (apaleo) — sofern vom Verantwortlichen aktiviert, ab Pro+
• Berater-Portal: Lesender Zugriff für vom Verantwortlichen autorisierte Berater (ab Starter)
• Maßnahmen-Tracking mit Deadlines und Prioritäten
• Multi-Betrieb-Verwaltung mit bis zu 20 Betrieben (Enterprise)
• Zahlungsabwicklung über Stripe
• Bereitstellung einer KI-gestützten Chatbot-Hilfe-Funktion

3. Art der personenbezogenen Daten

• E-Mail-Adresse des Nutzers
• Betriebswirtschaftliche Daten (Umsatz, Kosten, Preise – vom Nutzer eingegeben)
• Hochgeladene Belege (Lieferantenrechnungen)
• Stripe-Kunden-ID und Abonnement-Status
• API-Tokens/OAuth-Credentials für sevDesk, lexoffice, Shiftbase und apaleo (verschlüsselt gespeichert, vom Nutzer bereitgestellt)

4. Kategorien betroffener Personen

Registrierte Nutzer des Dienstes (Gastronomen, Hoteliers, Betriebsleiter) sowie ggf. von diesen autorisierte Berater mit lesendem Zugriff.

5. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter gewährleistet folgende Maßnahmen:

• Verschlüsselung: TLS/HTTPS für alle Datenübertragungen. HSTS erzwingt HTTPS. Sensible Daten (z. B. API-Tokens für externe Integrationen) werden mit AES-256-GCM verschlüsselt in der Datenbank gespeichert. Datenbank nicht öffentlich zugänglich.
• Zugangskontrolle: Zugang zur Datenbank ausschließlich über authentifizierte API-Endpunkte. Kein direkter öffentlicher Datenbankzugang.
• Passwort-Hashing: Passwörter werden mit einem aktuellen, sicheren Hash-Verfahren gespeichert. Ein Zugriff auf Klartext-Passwörter ist nach aktuellem Stand auch für den Anbieter nicht möglich.
• Session-Management: Sitzungen werden über JWT-Tokens in HttpOnly-Cookies verwaltet (nicht per JavaScript auslesbar). Automatischer Ablauf nach 4 Stunden.
• Inaktivitäts-Timeout: Sitzungen werden nach 30 Minuten Inaktivität automatisch beendet.
• IP-Maskierung: IP-Adressen werden nach dem Grundsatz der Datenminimierung gekürzt (letztes Oktett entfernt).
• Brute-Force-Schutz: Account-Sperre nach 5 Fehlversuchen. Anmeldeversuche sind zusätzlich per IP rate-limitiert.
• Security-Header: Content Security Policy (CSP), X-Content-Type-Options (nosniff), Referrer-Policy (strict-origin), Permissions-Policy (restriktiv).
• Audit-Logging: Protokollierung sicherheitsrelevanter Aktionen. IP-Adressen werden gekürzt gespeichert.
• Beleg-Verarbeitung: Originalbelege werden nicht dauerhaft gespeichert; die Verarbeitung erfolgt nur vorübergehend. Personenbezogene Daten auf Belegen (Namen, Adressen) werden nach aktuellem Stand ignoriert und nicht extrahiert (PII-Stripping).
• LLM-Anonymisierung: Bei der Übermittlung von Betriebsdaten an KI-Dienste werden personenbezogene Daten (Betriebsname, Kontaktdaten, E-Mail) nach aktuellem Stand entfernt. Es werden soweit möglich nur aggregierte Kennzahlen übermittelt.
• Externe API-Tokens: API-Tokens und OAuth-Credentials für sevDesk, lexoffice, Shiftbase und apaleo werden mit AES-256-GCM verschlüsselt in der Datenbank gespeichert und bei Trennung der Verbindung unwiderruflich gelöscht.
• Standort: Die App und die zugehörige Datenbank werden über die Plattform von Abacus.AI Inc. (USA) gehostet und verwaltet. Da Abacus.AI Inc. ihren Sitz in den USA hat, kann eine Verarbeitung in einem Drittland (USA) stattfinden; die Übermittlung erfolgt auf Basis geeigneter Garantien (siehe Abschnitt 6, Drittlandübermittlung).
• Löschung: Löschung aller Nutzerdaten auf Anfrage oder bei Kontolöschung durch den Nutzer. Eine Wiederherstellung ist danach nicht mehr vorgesehen. Bei Kontolöschung wird ein aktives Abo beendet; die weitere Verarbeitung von Zahlungsdaten erfolgt gemäß den Aufbewahrungs- und Compliance-Vorgaben von Stripe.
• Unterauftragsverarbeiter: Siehe Abschnitt 6.

Hinweis: REVENU wird von einem kleinen Team entwickelt. Die TOM entsprechen dem aktuellen Stand und werden kontinuierlich verbessert. Wir empfehlen, keine hochsensiblen personenbezogenen Daten Dritter (z. B. Gesundheitsdaten von Gästen) über REVENU zu verarbeiten.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der genannten Unterauftragsverarbeiter zu. Bei Änderungen wird der Verantwortliche informiert.

Hinweis zu sevDesk, lexoffice, Shiftbase und apaleo: Diese sind keine Unterauftragsverarbeiter von REVENU. Die API-Verbindung wird vom Nutzer selbst hergestellt; REVENU agiert als technischer Vermittler im Auftrag des Nutzers und greift ausschließlich lesend auf die Daten zu. Shiftbase B.V. hat ihren Sitz in den Niederlanden (EU). apaleo GmbH hat ihren Sitz in München (DE); die API-Infrastruktur läuft auf AWS Frankfurt (EU).

Hinweis zu Trackboxx: Trackboxx verarbeitet keine personenbezogenen Daten, setzt keine Cookies und speichert keine IP-Adressen. Eine Auftragsverarbeitung im Sinne des Art. 28 DSGVO liegt nach aktuellem Stand nicht vor. Trackboxx wird hier aus Transparenzgründen aufgeführt.

Drittlandübermittlung: Soweit Unterauftragsverarbeiter in den USA ansässig sind (Abacus.AI, Stripe), erfolgt die Übermittlung auf Basis geeigneter Garantien gemäß Art. 46 DSGVO (Standardvertragsklauseln) bzw. unter dem EU-US Data Privacy Framework (Art. 45 DSGVO). Ein Restrisiko bei Drittlandübermittlungen kann nicht vollständig ausgeschlossen werden. Alle übrigen Anbieter (ALL-INKL, Trackboxx) haben ihren Sitz in Deutschland.

7. Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen
• Sicherstellung, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind
• Unterstützung bei der Einhaltung der Betroffenenrechte (Art. 15–22 DSGVO)
• Löschung aller Daten nach Ende der Auftragsverarbeitung
• Bereitstellung eines maschinenlesbaren JSON-Exports für Art. 15 und Art. 20 DSGVO

8. Rechte des Verantwortlichen

Der Verantwortliche kann jederzeit Auskunft über die gespeicherten Daten verlangen und die Löschung aller Daten anfordern.

9. Kontakt

Für datenschutzbezogene Anfragen: [email protected]