Vereinbarung zur Auftragsverarbeitung
Fassung: 2026-07-26
Stand: 26.07.2026

1. Gegenstand und Verantwortlichkeit

Diese Vereinbarung zur Auftragsverarbeitung („AVV“) konkretisiert die datenschutzrechtlichen Pflichten zwischen dem Kunden als Verantwortlichem und REMA als Auftragsverarbeiter. Sie gilt für personenbezogene Daten, die REMA im Rahmen der gebuchten Leistungen im Auftrag verarbeitet, und ist Bestandteil des Hauptvertrags.

2. Art, Zweck, Daten und Betroffene

Gegenstand und Dauer entsprechen den gebuchten Cloud-, Kassen-, Reservierungs-, Menü-, Bestell-, Support- und Synchronisationsleistungen. Die Verarbeitung dient Bereitstellung, Übertragung, Speicherung, Anzeige, Auswertung, Kommunikation, Support, Sicherung und Löschung der vom Kunden kontrollierten Daten.


- Betroffene: Beschäftigte, Nutzer, Gäste, Besteller, Ansprechpartner, Lieferanten und sonstige Personen in Kunden- oder Kassendaten.
- Datenarten: Stamm-, Kontakt-, Konto-, Rollen-, Reservierungs-, Bestell-, Beleg-, Transaktions-, Journal-, Geräte-, Protokoll-, Kommunikations- und Supportdaten.
- Besondere Kategorien: insbesondere freiwillige Allergie- oder Unverträglichkeitsangaben, soweit der Kunde ihre Erhebung aktiviert.

3. Pflichten von REMA

- personenbezogene Daten nur auf dokumentierte Weisung des Kunden zu verarbeiten;
- zur Vertraulichkeit verpflichtete und angemessen geschulte Personen einzusetzen;
- geeignete technische und organisatorische Maßnahmen aufrechtzuerhalten;
- den Kunden bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Behördenanfragen angemessen zu unterstützen;
- Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden zu melden;
- erforderliche Nachweise bereitzustellen und zulässige Prüfungen zu ermöglichen.

4. Pflichten und Weisungen des Kunden

Der Kunde ist für Rechtmäßigkeit, Transparenz, Rechtsgrundlagen, Datenminimierung, Aufbewahrungsfristen und die Erfüllung von Betroffenenrechten verantwortlich. Weisungen erfolgen über die vereinbarten Funktionen oder in Textform. Hält REMA eine Weisung für datenschutzwidrig, weist REMA den Kunden darauf hin und darf ihre Ausführung bis zur Klärung aussetzen.

5. Unterauftragnehmer

Der Kunde erteilt eine allgemeine Genehmigung für die nachfolgend aufgeführten Unterauftragnehmer. REMA informiert mindestens 30 Tage vor einer beabsichtigten wesentlichen Änderung. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Ist keine zumutbare Alternative möglich, kann der betroffene Leistungsteil beendet werden.


- Vercel Inc. – Hosting, Auslieferung und technische Webanalyse;
- Convex, Inc. – Backend-, Datenbank- und Echtzeitdienste;
- WorkOS, Inc. – Authentifizierung, Konten und Organisationsverwaltung;
- Resend, Inc. – transaktionaler E-Mail-Versand;
- Stripe Payments Europe, Limited und verbundene Stripe-Gesellschaften – Abrechnung von REMA-Produkten;
- REMA-eigene produktive ClickHouse- und Server-Infrastruktur in Deutschland (derzeit kein weiterer Unterauftragnehmer).

6. Drittlandübermittlungen

Verarbeitungen außerhalb von EU und EWR erfolgen nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien wie Standardvertragsklauseln. REMA stellt auf Anfrage Informationen zu den eingesetzten Transfermechanismen bereit.

7. Technische und organisatorische Maßnahmen

- rollenbasierte Zugriffssteuerung, starke Authentifizierung und getrennte Organisationsbereiche;
- Transportverschlüsselung und angemessener Schutz gespeicherter Zugangsdaten und Geheimnisse;
- Protokollierung sicherheitsrelevanter administrativer Vorgänge;
- regelmäßige Updates, Schwachstellenbehandlung und abgesicherte Entwicklungs- und Bereitstellungsprozesse;
- Verfügbarkeits-, Wiederanlauf-, Sicherungs- und Wiederherstellungsmaßnahmen entsprechend Schutzbedarf und vereinbarter Leistung;
- Datenminimierung, Löschkonzepte und kontrollierte Supportzugriffe;
- regelmäßige Überprüfung der Wirksamkeit der Maßnahmen.


Die Maßnahmen werden risikoorientiert weiterentwickelt. Änderungen dürfen das vereinbarte Schutzniveau nicht absenken.

8. Rückgabe und Löschung

Nach Ende des Hauptvertrags gibt REMA vorhandene Kundendaten nach den Cloud-Zusatzbedingungen für 30 Tage auf Anfrage heraus. Anschließend löscht oder anonymisiert REMA Auftragsdaten und vorhandene Kopien nach dem betrieblichen Löschzyklus, sofern Unionsrecht oder deutsches Recht keine weitere Speicherung verlangt.

9. Dauer und Schlussbestimmungen

Der AVV gilt für die Dauer der auftragsbezogenen Verarbeitung. Im Übrigen gelten die B2B-Rahmen-AGB, soweit sie den Anforderungen des Art. 28 DSGVO nicht widersprechen.