Vereinbarung zur Datenverarbeitung im Auftrag

• Nutzer bzw. Beschäftigte/Angestellte des Auftraggebers (“Hotelpersonal”)
  • Stamm- und Kommunikationsdaten (z.B. Vor-/Nachname, E-Mail-Adresse,Telefonnummer)
  • Nutzungsdaten (z.B. Dauer der Nutzung, genutztes Feature)
  • Bilddaten (z.B. Profilbild)
• Endnutzer bzw. Kunden des Auftraggebers (“Hotelgäste”)
  • Stamm- und Kommunikationsdaten (z.B. Vor- und Nachname, E-Mail-Adresse, Telefonnummer)
  • Adressdaten (z.B. Straße, Hausnummer, PLZ, Stadt, Land)
  • Buchungs- bzw. Reisedaten (z.B. Anreise- und Abreisedatum, Buchungsnummer, Zimmernummer)
  • Meldescheindaten (z.B. Staatsangehörigkeit, Geburtsdatum, Passnummer, digitale Unterschrift)
  • Rechnungsdaten (z.B. Rechnungsadresse, Preise, gebuchte Services (z.B. Parken, Fitnessstudio)
  • Nutzungsdaten (z.B. Beginn, Dauer und Ende der Nutzung, genutztes
  • Feature, genutzte Sprache, benutzter Browser und Betriebssystem)
  • Geodaten (z.B. GPS-Position)

Pflichten des Auftragsverarbeiters

Mitteilungspflichten des Auftragsverarbeiters

Der Auftragsverarbeiter teilt dem Auftraggeber unverzüglich Störungen, Verstöße des Auftragsverarbeiters oder der bei ihm beschäftigten Personen sowie gegendatenschutzrechtliche Bestimmungen oder die im Auftrag getroffenen Festlegungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten mit. Dies gilt vor allem auch im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO. Der Auftragsverarbeiter sichert zu, den Auftraggeber erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Meldungen nach Art. 33 oder 34 DSGVO für den Auftraggeber darf der Auftragsverarbeiter nur nach vorheriger Weisung gem. Ziff. 4 dieses Vertrages durchführen.

Unterauftragsverhältnisse mit Subunternehmern

6.1 Als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die sich unmittelbar auf die Erbringung der Hauptleistung eziehen. Nicht hierzu gehören Nebenleistungen, die der Auftragnehmer z.B. als Telekommunikationsleistungen, Post-/Transportdienstleistungen, Wartung und Benutzerservice oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der Hard- und Software von Datenverarbeitungsanlagen in Anspruch nimmt. Der Auftragnehmer ist jedoch verpflichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit auch bei ausgelagerten Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.

6.2 Der Auftraggeber erteilt die allgemeine Genehmigung für die Beauftragung von Unterauftragnehmern. Insbesondere ist der Auftraggeber mit der Beauftragung der in Anlage 2 aufgeführten Unterauftragnehmer einverstanden.

6.3 Der Einsatz weiterer Unterauftragnehmer oder der Wechsel der bestehenden Unterauftragnehmer sind zulässig, soweit:

• der Auftragnehmer eine solche Auslagerung auf Unterauftragnehmer dem Auftraggeber eine angemessene Zeit vorab, mindestens jedoch 14 Tage vor dem geplanten Einsatz schriftlich oder in Textform anzeigt und
  
• der Auftraggeber nicht bis zum Zeitpunkt der Übergabe der Daten gegenüber dem Auftragnehmer schriftlich oder in Textform innerhalb von 14 Tagen Einspruch mit sachlicher Begründung gegen die geplante Auslagerung erhebt und
  
• eine vertragliche Vereinbarung mit dem Unterauftragnehmer nach Maßgabe des Art. 28 Abs. 2-4 DSGVO zugrunde gelegt wird.

6.4 Erhebt der Auftraggeber aus sachlichem Grund gegen die Verarbeitung personenbezogener Daten durch den neuen Unterauftragnehmer Einspruch, ist jeder Vertragspartner berechtigt, den Hauptvertrag ohne Einhaltung einer Kündigungsfrist zu kündigen, insbesondere wenn ihm die Fortsetzung des Vertragsverhältnisses bis zur vereinbarten Beendigung oder bis zum Ablauf einer ordentlichen Kündigungsfrist nicht zumutbar ist.

6.5 Erbringt der Unterauftragnehmer die vereinbarte Leistung außerhalb der EU/des EWR, stellt der Auftragnehmer die datenschutzrechtliche Zulässigkeit durch entsprechende Maßnahmen sicher.

Technische organisatorische Maßnahmen

7.1 Es wird für die konkrete Auftragsverarbeitung ein dem Risiko für die Rechte und Freiheiten der von der Verarbeitung betroffenen natürlichen Personen angemessenes Schutzniveau gewährleistet. Dazu werden die Schutzziele von Art. 32 Abs. 1 DSGVO, wie Vertraulichkeit, Integrität und Verfügbarkeit der Systeme und Dienste sowie deren Belastbarkeit in Bezug auf Art, Umfang, Umstände und Zweck der Verarbeitungen derart berücksichtigt, dass durch geeignete technische und organisatorische Abhilfemaßnahmen das Risiko auf Dauer eingedämmt wird. Für die auftragsgemäße Verarbeitung personenbezogener Daten wird eine angemessene und nachvollziehbare Methodik zur Risikobewertung verwendet, welche die Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten der von der Verarbeitung Betroffenen berücksichtigt.

7.2 Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren und dem Auftraggeber mitzuteilen.

7.3 Die aktuellen Maßnahmen können Anlage 1 entnommen werden und werden Bestandteil dieser Auftragsverarbeitung. 

Verpflichtungen des Auftragsverarbeiters nach Beendigung des Auftrags

Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind. Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Auftraggeber – spätestens mit Beendigung der Leistungsvereinbarung – hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber nach desen Wahl auszuhändigen oder datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen.

Schlussbestimmungen

9.1 Vereinbarungen zu den technischen und organisatorischen Maßnahmen sowie Kontroll- und Prüfungsunterlagen (auch zu Subunternehmen) sind von beiden Vertragspartnern für ihre Geltungsdauer und anschließend noch für drei volle Kalenderjahre aufzubewahren. Für Nebenabreden ist grundsätzlich die Schriftform oder ein dokumentiertes elektronisches Format erforderlich. Als Gerichtsstand wird das für den Auftragnehmer örtlich zuständige Gericht vereinbart.

9.2 Sollte das Eigentum oder die zu verarbeitenden personenbezogenen Daten des Auftraggebers beim Auftragsverarbeiter durch Maßnahmen Dritter (etwa durch Pfändung oder Beschlagnahme), durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, so hat der Auftragsverarbeiter den Auftraggeber unverzüglich zu verständigen. Die Einrede des Zurückbehaltungsrechts i. S. v. § 273 BGB wird hinsichtlich der für den Auftraggeber verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.

9.3. Für die Auslegung dieser Vereinbarung ist die Version in der deutschen Sprache maßgeblich.

Salvatorische Klausel

Sollten eine oder mehrere Klauseln dieser Vereinbarung ganz oder teilweise unwirksam oder undurchführbar sein, so soll dies die Gültigkeit der Vereinbarung im Übrigen nicht berühren. Die Parteien werden die unwirksame bzw. undurchführbare Klausel durch eine Bestimmung ersetzen, die dem Sinn und Zweck der unwirksamen Klausel zulässigerweise wirtschaftlich und rechtlich möglichst nahekommt. Das Gleiche gilt für Lücken in dieser Vereinbarung.

Anlage 1 – Technische organisatorische Maßnahmen

Der Auftragsverarbeiter sichert zu, dass er die nachfolgend beschriebenen Mindestanforderungen im Rahmen seines Datenschutzkonzeptes einhält. Es beschreibt die im Rahmen der Auftragsverarbeitung erforderlichen Maßnahmen beim Auftragsverarbeiter zum sicheren Umgang mit personenbezogenen Daten. Die Grundlage für dieses Datenschutz-Konzept bilden die EU-Datenschutzgrundverordnung DSGVO und ggf. weitere von den interessierten Parteien geforderten Maßnahmen. Hierbei orientiert sich der Auftragsverarbeiter im Wesentlichen an den Vorgaben der Artikel 24, 25 und 32 DSGVO. Auf Anforderung weist der Auftragsverarbeiter die Einhaltung entsprechend nach.

1. Vertraulichkeit

1.1 Zutrittskontrolle

• Zutrittskontrollsystem/Zutritt nur für autorisierte Mitarbeiter mittels Transponder-Schlüssel
• Zutrittskontrolle an der Haupteingangstüre mittels Kamera
• Dokumentierte Schlüsselvergabe
• Rücknahme von Zugangsmitteln nach Ablauf der Berechtigung
• Empfang

1.2. Zugangskontrolle

• Kennwortverfahren (u.a. Mindestlänge)
• Serversysteme nur mit Passwort und über eine verschlüsselte Verbindung durch Benutzer mit Administratorrechten nutzbar (SSH)
• Sperrung des Computers beim (temp.) Verlassen des Arbeitsplatzes
• Firewall/Virenscanner
• Organisationsanweisung zur Ausgabe von Schlüsseln
• Umgehende Sperrung von Berechtigungen beim Ausscheiden von Mitarbeitern (Richtlinie/Arbeitsanweisung)
• Gesicherte Übertragung von Authentifizierungsgeheimnissen (Credentials) mittels HTTPS

1.3 Zugriffskontrolle

• Differenzierte Berechtigungen (z.B. in Form von Profilen, Rollen)
• Verbindliches Berechtigungsvergabeverfahren
• Es existiert ein Administrationskonzept zur nachvollziehbaren Beantragung und Vergabe der Zugriffsrechte
• Protokollierung der Veränderung von Berechtigungen
• Verbindliches Verfahren zur Wiederherstellung von Daten aus Backup (Restore durch IT-Abteilung auf Anweisung der Geschäftsführung)
• Dokumentation der Netzlaufwerkszugriffe für berechtigte Benutzer(-gruppen)
• Berechtigungskonzept ist dokumentiert
• Vergabe minimaler Berechtigungen (Need-to-know-Prinzip)
• Die Vergabe von generischen Gruppenkennungen oder Passwörtern ist in der Software nicht vorgesehen und wird nicht empfohlen.
• Die Software erlaubt die Vermeidung der Konzentration von Funktionen und ermöglicht die Funktionstrennung von Administratorentätigkeiten auf unterschiedliche qualifizierte Personen.
• Datenschutzgerechte Entsorgung nicht mehr benötigter Datenträger durch Serverdienstleister