Auftragsverarbeitungsvertrag (DPA)

Auftragsverarbeitungsvereinbarung (AVV / DPA) 1. Definitionen und Anwendungsbereich Diese Auftragsverarbeitungsvereinbarung ("AVV") ergänzt die AdminRentist-Nutzungsbedingungen und regelt die Verarbeitung personenbezogener Daten durch MEDITERRAN-IA LTD ("Auftragsverarbeiter" oder "AdminRentist") im Namen des Kunden ("Verantwortlicher"). Der Verantwortliche ist ein Unternehmen oder ein Gewerbetreibender, der die Dienste der AdminRentist-Plattform zur Verwaltung von touristischen Unterkünften und den damit verbundenen Aktivitäten in Anspruch nimmt. Der Auftragsverarbeiter ist ein Unternehmen, das auf die Bereitstellung technologischer Dienstleistungen für das ganzheitliche Management von Touristenunterkünften über eine SaaS-Plattform spezialisiert ist, welche die Verwaltung von Buchungen, Gästen, Vorfällen, Dienstleistern und weiteren mit dem Aufenthalt verbundenen Leistungen ermöglicht. Gemäß den vom Verantwortlichen akzeptierten Nutzungsbedingungen ist es möglich, dass der Auftragsverarbeiter auf personenbezogene Daten zugreift, für die der Kunde die verantwortliche Stelle ist. In Übereinstimmung mit der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (DSGVO) haben die Parteien vereinbart, diese Auftragsverarbeitungsvereinbarung abzuschließen. 2. Gegenstand der Vereinbarung Gegenstand dieser Vereinbarung ist die Regelung der Verarbeitung personenbezogener Daten des Kunden durch den Auftragsverarbeiter zum Zweck der Erbringung der in den Geschäftsbedingungen definierten und vom Verantwortlichen beauftragten Leistungen (nachfolgend die "Dienstleistungen"). Diese Vereinbarung begründet einen Datenzugriff im Auftrag Dritter und keine Übermittlung oder Weitergabe personenbezogener Daten, sodass der Kunde weiterhin die Kontrolle über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten behält, für die er als Verantwortlicher fungiert. 3. Dauer Die Verarbeitung personenbezogener Daten erfolgt für die Dauer der Nutzungsbedingungen. Nach deren Beendigung können die Daten für einen Zeitraum von maximal sechzig (60) Tagen ausschließlich zum Zweck der Wiederherstellung, Rückgabe oder des Exports aufbewahrt werden und bleiben für alle anderen Zwecke gesperrt. Nach Ablauf dieser Frist werden die Daten sicher gelöscht, es sei denn, eine gesetzliche Aufbewahrungspflicht steht dem entgegen. 4. Verarbeitung personenbezogener Daten Durch diese Bestimmungen wird der Auftragsverarbeiter ermächtigt, die für die Erbringung der Dienstleistungen erforderlichen personenbezogenen Daten im Auftrag des Verantwortlichen zu verarbeiten. Der Auftragsverarbeiter wurde sorgfältig ausgewählt und bietet hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden, damit die Verarbeitung im Einklang mit den gesetzlichen Anforderungen steht und der Schutz der Rechte der betroffenen Personen gewährleistet ist. Zu den Kategorien betroffener Personen gehören Eigentümer, Verwalter, Wartungspersonal und Gäste (Namen, E-Mail-Adressen, Telefonnummern, Reisedaten und Steueridentifikationsnummern). Der Auftragsverarbeiter führt folgende Verarbeitungsvorgänge durch: Erhebung, Erfassung, Organisation, Strukturierung, Speicherung, Abfrage, Verwendung und Löschung. 5. Pflichten des Auftragsverarbeiters 2.1 Verarbeitung nach Weisung: AdminRentist verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen und nur zur Erbringung der Dienstleistungen. Eine Verwendung für andere Zwecke ist ausgeschlossen. 2.2 Vertraulichkeit und Sicherheit: Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben. Er stellt sicher, dass Personen, die ihm unterstellt sind, Daten nur auf Weisung des Verantwortlichen verarbeiten. Zudem werden Daten nicht ohne ausdrückliche Genehmigung des Verantwortlichen an Dritte übermittelt. Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO und in Anlehnung an das Cyber-Essentials-Schema (Verschlüsselung bei Übertragung und Speicherung, Multi-Faktor-Authentifizierung und rollenbasierte Zugriffskontrolle). 2.3 Unterstützung und Betroffenenrechte: AdminRentist unterstützt den Verantwortlichen aktiv bei der Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch) sowie bei Datenschutz-Folgenabschätzungen (DSFA) und vorherigen Konsultationen der Aufsichtsbehörde. Wenden sich Betroffene direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich, spätestens am folgenden Werktag, per E-Mail an den Verantwortlichen weiter. Darüber hinaus stellt der Auftragsverarbeiter alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten bereit. 2.4 Meldung von Datenschutzverletzungen: AdminRentist benachrichtigt den Verantwortlichen unverzüglich, nach Möglichkeit innerhalb von 24-48 Stunden nach Bekanntwerden, über Sicherheitsverletzungen. Die Meldung umfasst Art der Verletzung, betroffene Daten, Folgen und Abhilfemaßnahmen. Die Meldepflicht an die Aufsichtsbehörde innerhalb von 72 Stunden verbleibt beim Verantwortlichen. 6. Pflichten des Verantwortlichen Dem Verantwortlichen obliegt es: 6.1 Alle erforderlichen Maßnahmen zu ergreifen, um die Sicherheit der Daten zu gewährleisten und unbefugten Zugriff oder Verlust zu verhindern. 6.2 Den Auftragsverarbeiter über Änderungen an den Daten zu informieren, um diese zu aktualisieren. 6.3 Daten unter Einhaltung der geltenden Datenschutzgesetze zu erheben. 6.4 Der Verantwortliche garantiert: a. Dass Daten direkt von den Betroffenen erhoben wurden und diese vorab über Folgendes informiert wurden: • Das Bestehen einer Datenbank. • Den Zweck der Datenerhebung. • Die Empfänger der Informationen. • Die Folgen der Verweigerung der Angabe. • Die Betroffenenrechte (Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung, Übertragbarkeit). • Die Identität und Anschrift des Verantwortlichen. b. Dass Betroffene über eindeutige und rechtmäßige Zwecke informiert wurden. c. Dass Betroffenen ein einfaches und kostenloses Widerspruchsrecht eingeräumt wird. d. Dass erforderliche Sicherheitsmaßnahmen implementiert wurden. e. Dass Daten nur durch geschulte und zur Vertraulichkeit verpflichtete Mitarbeiter verarbeitet werden. f. Dass die Datenverarbeitung rechtmäßig erfolgt. g. Dass, sofern gesetzlich vorgeschrieben, ein Datenschutzbeauftragter bestellt wurde. h. Dass ein Verzeichnis von Verarbeitungstätigkeiten geführt wird. 7. Unterauftragsverarbeiter und Widerspruchsrecht 3.1 Allgemeine Genehmigung: Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung von Unterauftragsverarbeitern. AdminRentist informiert 30 Tage im Voraus schriftlich über Änderungen. Erfolgt kein Widerspruch, gilt dies als Zustimmung. Unterauftragsverarbeiter unterliegen gleichwertigen vertraglichen Pflichten. 3.2 Aktuelle Liste: Wesentliche Unterauftragsverarbeiter sind: (a) Amazon Web Services (AWS) (Serverstandorte UK und EWR - Irland); (b) Stripe, Inc. (Zahlungsabwicklung und Betrugsprävention); (c) Matomo (anonymisierte Analytik). 8. Internationale Datentransfers und Audits 4.1 Garantien: Bei Übermittlungen außerhalb des UK oder EWR werden geeignete Garantien implementiert (z. B. IDTA, Standardvertragsklauseln der EU-Kommission (SCCs), UK-Addendum sowie Transfer-Folgenabschätzungen). 4.2 Auditrecht: AdminRentist ermöglicht angemessene Überprüfungen durch den Verantwortlichen oder einen unabhängigen Prüfer nach einer Ankündigungsfrist von 30 Tagen. 4.3 Endgültige Löschung oder Rückgabe: Nach Beendigung wählt der Verantwortliche die Rückgabe oder Löschung. AdminRentist löscht alle vorhandenen Kopien, sofern keine gesetzliche Pflicht entgegensteht. Sicherungskopien werden im regulären Zyklus überschrieben. 9. Haftung bei Ansprüchen 9.1 Bei Verfahren durch Aufsichtsbehörden oder Ansprüchen Dritter informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich und stellt nach Abschluss Kopien der Bescheide bereit. 9.2 Verhängt eine Aufsichtsbehörde infolge einer Pflichtverletzung des Auftragsverarbeiters Sanktionen gegen den Verantwortlichen, stellt der Auftragsverarbeiter diesen von den Kosten der Sanktion, Zinsen, Rechtsverteidigungskosten und Schäden frei. 9.3 Beide Parteien haften einander für Schäden aus vorsätzlicher oder fahrlässiger Pflichtverletzung dieser Vereinbarung. 10. Vertraulichkeit 10.1 Vertrauliche Informationen dürfen ausschließlich zur Erbringung der Dienstleistungen genutzt und nicht ohne vorherige schriftliche Zustimmung an Dritte weitergegeben werden. 10.2 Der Auftragsverarbeiter wendet alle erforderlichen Maßnahmen zur Wahrung des Datengeheimnisses an. 10.3 Die Vertraulichkeit gilt zeitlich unbeschränkt auch nach Beendigung dieser Vereinbarung fort. 10.4 Ausgenommen sind Informationen: a. Die ohne Vertragsverletzung öffentlich bekannt sind oder werden. b. Die rechtmäßig von ungebundenen Dritten erlangt wurden. c. Die der Partei bereits zuvor bekannt waren. d. Deren Offenlegung gesetzlich vorgeschrieben ist. 11. Vertragsbeendigung bei Verstößen Bei wesentlichen Pflichtverletzungen kann jede Partei die Vereinbarung mit sofortiger Wirkung kündigen. 12. Gerichtsstand und anwendbares Recht 12.1 Es gilt das Recht von England und Wales unter ausschließlicher Zuständigkeit der dortigen Gerichte. 12.2 Die Unwirksamkeit einzelner Bestimmungen berührt die Wirksamkeit der übrigen Vereinbarung nicht. Die Auslegung erfolgt nach Treu und Glauben.