Stand: Juli 2026
Dieser Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO wird zwischen dem Kunden (Restaurant/Betrieb, „Verantwortlicher“) und Pratheepan Sivakumar (Einzelunternehmen, „Helora“, „Auftragsverarbeiter“) geschlossen. Er wird mit der Registrierung bzw. Buchung Bestandteil des Vertrags und konkretisiert die Datenschutzpflichten bei der Verarbeitung von Gästedaten im Auftrag des Kunden.
Helora verarbeitet im Rahmen der Plattform personenbezogene Daten der Gäste des Kunden (Anrufer, Besteller, Reservierende) im Auftrag und nach Weisung des Kunden. Der Kunde ist Verantwortlicher (Art. 4 Nr. 7 DSGVO), Helora ist Auftragsverarbeiter (Art. 4 Nr. 8, Art. 28 DSGVO). Für die eigenen Konto-, Vertrags- und Abrechnungsdaten des Kunden ist Helora eigener Verantwortlicher.
Zweck ist die Erbringung der vereinbarten Leistungen (KI-Telefonassistent, Online-Bestellung, Reservierung, Nachrichtenversand, Kassenfunktionen). Art und Umfang ergeben sich aus dem Hauptvertrag und der Produktnutzung. Die Verarbeitung erfolgt für die Dauer des Hauptvertrags; danach gilt Ziffer 9.
Helora verarbeitet die Daten ausschließlich im Rahmen des Hauptvertrags und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, eine gesetzliche Verpflichtung besteht. Verstößt eine Weisung nach Auffassung von Helora gegen Datenschutzrecht, wird der Verantwortliche informiert.
Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der zur Leistungserbringung erforderlichen Unterauftragsverarbeiter; Helora verpflichtet diese auf ein gleichwertiges Datenschutzniveau und informiert vorab über Änderungen (Widerspruch aus wichtigem Grund möglich). Aktuell: Supabase (USA/EU-Frankfurt), Vercel (USA/EU), Vapi, Deepgram, Cartesia, OpenAI, Anthropic (USA), Google/Ireland, Twilio (USA), Meta Ireland, Stripe, fiskaly GmbH (DE), HubRise SAS (FR), ready2order GmbH (AT), Resend (USA/EU), Upstash (USA). Die jeweils aktuelle Liste ist unter sk@helora.io abrufbar.
Erfolgt eine Verarbeitung in einem Drittland, stellt Helora geeignete Garantien nach Art. 44 ff. DSGVO sicher (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework).
Nach Vertragsende werden die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Ein angemessener Export wird bereitgestellt.
Die Haftung richtet sich nach Art. 82 DSGVO und dem Hauptvertrag. Es gilt deutsches Recht. In datenschutzrechtlichen Fragen geht dieser AVV dem Hauptvertrag vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.