Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV") ist Bestandteil der Vereinbarung zwischen dem Kunden („Verantwortlicher") und Corco Labs d.o.o. („Auftragsverarbeiter", Betreiber von Guestavo) für die Bereitstellung des Guestavo-Dienstes. Er spiegelt die Pflichten der Parteien gemäß der Verordnung (EU) 2016/679 („DSGVO") und gleichwertigen anwendbaren Datenschutzgesetzen wider.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zum Zweck der Bereitstellung des Guestavo-Dienstes gemäß dem Hauptvertrag (der „Dienstleistungsvertrag"). Die Verarbeitung erfolgt für die Dauer des Dienstleistungsvertrags und einen vereinbarten Zeitraum nach Beendigung zur Datenrückgabe oder -löschung.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten zur Erbringung des vertraglich vereinbarten Dienstes. Dies umfasst:

• Hosting und Speicherung von Gäste-, Reservierungs- und Veranstaltungsdaten
• Versand von Transaktions- und Marketing-Kommunikation im Auftrag des Verantwortlichen
• Bereitstellung von Analysen, Berichten und Dashboards
• Betrieb des Kundensupports und Vorfallreaktion
• Aufrechterhaltung von Backups, Überwachung und Sicherheit der Plattform

3. Arten personenbezogener Daten und Kategorien betroffener Personen

Verarbeitete Arten personenbezogener Daten

• Identifikationsdaten (Name, E-Mail, Telefonnummer)
• Reservierungs- und Veranstaltungsteilnahmedaten
• Kommunikationsverlauf (E-Mails, SMS, Nachrichten)
• Präferenzen, Ernährungsanforderungen und vom Verantwortlichen erfasste Notizen
• Konto- und Authentifizierungsdaten der Mitarbeiter des Verantwortlichen
• Technische Daten (IP-Adresse, Gerät, Browser), soweit für Sicherheit und Analyse relevant

Kategorien betroffener Personen

• Gäste, Kunden und Interessenten des Verantwortlichen
• Mitarbeiter, Personal und autorisierte Nutzer des Verantwortlichen
• Veranstaltungsteilnehmer und über die Plattform hochgeladene oder erfasste Kontakte

4. Pflichten und Rechte des Verantwortlichen

Der Verantwortliche ist dafür verantwortlich, sicherzustellen, dass:

• Er über eine gültige Rechtsgrundlage gemäß Artikel 6 DSGVO für alle an den Dienst übermittelten oder durch ihn erzeugten personenbezogenen Daten verfügt
• Er die erforderlichen Hinweise erteilt und gegebenenfalls Einwilligungen von betroffenen Personen eingeholt hat
• Seine Weisungen an den Auftragsverarbeiter mit dem anwendbaren Datenschutzrecht übereinstimmen
• Er gemäß Artikel 30 DSGVO eigene Verzeichnisse von Verarbeitungstätigkeiten führt
• Er den Auftragsverarbeiter umgehend über Änderungen informiert, die die Rechtmäßigkeit der Verarbeitung betreffen

Der Verantwortliche behält alle Rechte und die Kontrolle über die personenbezogenen Daten und kann dem Auftragsverarbeiter dokumentierte Weisungen zur Verarbeitung erteilen.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch hinsichtlich Übermittlungen in Drittländer
• Sicherzustellen, dass zur Verarbeitung personenbezogener Daten befugte Personen zur Vertraulichkeit verpflichtet sind
• Geeignete technische und organisatorische Maßnahmen zu ergreifen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Artikel 32 DSGVO)
• Den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen nach Möglichkeit zu unterstützen
• Den Verantwortlichen bei der Einhaltung seiner Pflichten nach den Artikeln 32 bis 36 DSGVO zu unterstützen (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation)
• Alle erforderlichen Informationen zum Nachweis der Einhaltung von Artikel 28 DSGVO bereitzustellen
• Den Verantwortlichen unverzüglich zu informieren, wenn er der Ansicht ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter unterhält ein Sicherheitsprogramm, das mindestens folgende Maßnahmen umfasst:

• Verschlüsselung von Daten während der Übertragung mittels TLS
• Verschlüsselung ruhender Daten in Datenbanken und Backups
• Rollenbasierte Zugriffskontrollen und Verwaltung nach dem Prinzip der geringsten Rechte
• Mehrfaktor-Authentifizierung für administrative Zugänge
• Regelmäßige Aktualisierung von Betriebssystemen, Abhängigkeiten und Infrastruktur
• Kontinuierliche Überwachung, Protokollierung und Alarmierung bei Sicherheitsereignissen
• Dokumentierte Verfahren zur Vorfallreaktion und Geschäftskontinuität
• Geprüftes Personal, das zur Vertraulichkeit verpflichtet ist

7. Unterauftragsverarbeiter

Der Verantwortliche ermächtigt den Auftragsverarbeiter, die unten aufgeführten Unterauftragsverarbeiter zur Bereitstellung des Dienstes einzusetzen. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen weiterhin vollumfänglich für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus über jede beabsichtigte Aufnahme oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann aus angemessenen datenschutzrechtlichen Gründen Einspruch erheben; in diesem Fall werden die Parteien in gutem Glauben eine Lösung suchen.

8. Internationale Datenübermittlungen

Werden personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums übermittelt, stützt sich der Auftragsverarbeiter auf geeignete Garantien nach Kapitel V DSGVO, einschließlich der Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914), ergänzt durch zusätzliche technische und organisatorische Maßnahmen, sofern erforderlich. Außerhalb des EWR ansässige Unterauftragsverarbeiter sind über den jeweiligen Übertragungsmechanismus an gleichwertige Pflichten gebunden.

9. Rechte betroffener Personen

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung seiner Pflicht, auf Anträge betroffener Personen zur Wahrnehmung ihrer Rechte nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch) zu reagieren. Kontaktiert eine betroffene Person den Auftragsverarbeiter direkt, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter.

10. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft. Die Benachrichtigung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Anzahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Minderung ihrer Auswirkungen.

11. Auditrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind, und ermöglicht und unterstützt Audits, einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden. Audits werden auf Kosten des Verantwortlichen, mit angemessener Vorankündigung (mindestens 30 Tage, außer wenn von einer Aufsichtsbehörde früher gefordert), während der normalen Geschäftszeiten und in einer Weise durchgeführt, die den Betrieb des Auftragsverarbeiters nicht unangemessen stört. Der Auftragsverarbeiter kann Auditpflichten durch Vorlage aktueller Zertifizierungen Dritter (z. B. SOC 2, ISO 27001) erfüllen, sofern anwendbar.

12. Rückgabe und Löschung von Daten

Nach Beendigung des Dienstleistungsvertrags wird der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten zurückgeben oder löschen und bestehende Kopien löschen, es sei denn, die Aufbewahrung ist gesetzlich vorgeschrieben. Der Verantwortliche kann während der Vertragslaufzeit jederzeit über die Standardexportfunktion des Dienstes einen Export seiner Daten anfordern. Personenbezogene Daten enthaltende Backups werden gemäß dem dokumentierten Backup-Aufbewahrungsplan des Auftragsverarbeiters gelöscht, in der Regel innerhalb von 90 Tagen nach Beendigung.

13. Haftung

Die Haftung jeder Partei nach diesem AVV unterliegt den im Dienstleistungsvertrag festgelegten Beschränkungen und Ausschlüssen. Nichts in diesem AVV beschränkt die Haftung einer Partei dort, wo eine solche Beschränkung nach geltendem Datenschutzrecht nicht zulässig ist, einschließlich für Bußgelder, die von einer Aufsichtsbehörde direkt gegen eine Partei wegen eines eigenen Verstoßes gegen die DSGVO verhängt werden.

14. Anwendbares Recht und Rangfolge

Dieser AVV unterliegt dem im Dienstleistungsvertrag angegebenen Recht. Im Falle eines Widerspruchs zwischen diesem AVV und dem Dienstleistungsvertrag in Datenschutzfragen hat dieser AVV Vorrang. Alle anderen Bestimmungen des Dienstleistungsvertrags bleiben in vollem Umfang in Kraft.

15. Kontakt

Bei Fragen zu diesem AVV, zur Anforderung einer gegengezeichneten Kopie oder zur Ausübung von Audit- oder Meldungsrechten kontaktieren Sie uns bitte unter [email protected].

Corco Labs d.o.o.
Kolodvorska ulica 4, 9241 Veržej, Slovenia

Unterschriftenblock

Auftragsverarbeiter: Corco Labs d.o.o., Kolodvorska ulica 4, 9241 Veržej, Slovenija — unterzeichnet von Borut Balažek, Geschäftsführer. Verantwortlicher: Name, Unterzeichner, Titel und Datum werden bei der Gegenzeichnung ergänzt. Eine gegengezeichnete PDF-Version ist auf Anfrage erhältlich.