Version SUBPROCESSORS-2026-10-v4 · Stand 28. Oktober 2026
Unterauftragsverarbeiter
Diese Liste ist Anhang zum Auftragsverarbeitungsvertrag (https://tavelo.ch/dpa). Sie nennt die Dienstleister, die Personendaten im Auftrag von Tavelo bearbeiten. Über neue oder ersetzte Unterauftragsverarbeiter informieren wir Restaurants mindestens 30 Tage im Voraus.
Die deutsche Fassung ist rechtlich massgebend.
1. Unterauftragsverarbeiter
| Anbieter | Zweck | Daten | Ort / Übermittlung | Vertrag |
|---|---|---|---|---|
| Supabase (Vertragspartner: Supabase Pte. Ltd, Singapur) | Datenbank, Anmeldung, Dateispeicher | Alle in Tavelo gespeicherten Daten (Konten, Bestellungen, Reservationen, Treue- und Marketingdaten, Wallet-Kennungen, Abrechnung, Bilder) | Speicherung in der EU: Supabase-Region Central EU (Frankfurt, AWS eu-central-1), Deutschland. Der Vertragspartner hat seinen Sitz in Singapur; eine Übermittlung (z. B. Zugriff durch den Anbieter) stützt sich auf die EU-Standardvertragsklauseln mit Schweizer Anpassungen (gemäss Supabase-DPA) | https://supabase.com/legal/dpa |
| Vercel Inc., USA | Hosting der Website und der Server-Funktionen | Alle über die App übertragenen Daten; IP-Adressen und Anfrageprotokolle | Server-Funktionen in den USA (Region iad1); Auslieferung über Vercels weltweites Netz. Übermittlung gestützt auf EU-Standardvertragsklauseln (gemäss Vercel-DPA) | https://vercel.com/legal/dpa |
| Resend (Plus Five Five, Inc.), USA | Versand von Reservations-E-Mails und Bestätigungscodes | E-Mail-Adresse, Name, Reservationsangaben, Restaurantname, Bestätigungscode | Hauptverarbeitung in den USA. Übermittlung gestützt auf EU-Standardvertragsklauseln mit Schweizer Anpassungen; Resend ist nach dem Data Privacy Framework zertifiziert (gemäss Resend-DPA) | https://resend.com/legal/dpa |
| Amazon Web Services EMEA SARL, Luxemburg (Amazon SES) | Versand von E-Mails (Reservationen, Bestätigungscodes, Verträge) | E-Mail-Adresse, Name, Inhalt der E-Mail (z. B. Reservationsangaben, Restaurantname, Bestätigungscode) | Versand aus der AWS-Region eu-central-1 (Frankfurt), Deutschland. Eine allfällige Übermittlung (z. B. Zugriff durch den Anbieter oder verbundene Unternehmen in den USA) stützt sich auf die EU-Standardvertragsklauseln mit Schweizer Anpassungen (gemäss AWS-DPA) | https://d1.awsstatic.com/legal/aws-dpa/aws-dpa.pdf |
| OpenAI (für Daten aus dem EWR / der Schweiz: OpenAI Ireland Limited) — nur wenn KI-Funktionen aktiviert sind | KI-Reservationsassistent, Übersetzung von Speisekartentexten und Bestellnotizen, Texterkennung beim Import einer Speisekarte aus Fotos oder einem PDF | Eingegebener Chat-Text (ohne Kontaktdaten), Speisekartentexte, Bestellnotizen, Fotos gedruckter Speisekarten bzw. Seitenbilder eines Speisekarten-PDF (von Tavelo nicht gespeichert; ohne Personendaten vorgesehen) | Verarbeitung auch ausserhalb der Schweiz, u. a. in den USA. Übermittlung gestützt auf Standardvertragsklauseln (gemäss OpenAI-DPA). Tavelo sendet die Anfragen mit der Einstellung, Antworten nicht beim Anbieter zu speichern; OpenAI kann API-Daten gemäss seinen Bedingungen befristet aufbewahren, z. B. zur Missbrauchserkennung | https://openai.com/policies/data-processing-addendum/ |
2. Unabhängige Anbieter (keine Unterauftragsverarbeiter)
Apple (Apple Wallet) und Google (Google Wallet) stellen die Wallet-Apps bereit, die ein Gast selbst nutzt. Tavelo übermittelt ihnen den Inhalt der Treuekarte, wenn ein Gast eine Karte hinzufügt, und sendet Aktualisierungen. Apple und Google handeln dabei nach ihren eigenen Bedingungen und Datenschutzerklärungen (https://www.apple.com/legal/privacy/, https://policies.google.com/privacy). Ob Google für die im Tavelo-Ausstellerkonto gespeicherten Kartenobjekte als Auftragsverarbeiter gilt, wird rechtlich noch geprüft.
GitHub löst geplante Hintergrundaufgaben aus und erhält dabei keine Personendaten.