Vereinbarung zur Auftragsverarbeitung

1. Gegenstand und Dauer

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten aus dem Vertrag über die Nutzung von FreizeitFlow. Sie gilt für die Verarbeitung personenbezogener Daten von Gästen, Beschäftigten und Kontakten, soweit der Auftragnehmer diese ausschließlich zur technischen Bereitstellung des Buchungssystems nach dokumentierter Weisung des Auftraggebers verarbeitet. Sie läuft für die Dauer des Hauptvertrags. Verarbeitungen für eigene Zwecke des Auftragnehmers, insbesondere Vertragsabrechnung, Plattform- und Zahlungssicherheit sowie gesetzliche Nachweise, fallen nicht unter diese Vereinbarung.

2. Art, Zweck und betroffene Daten

Zwecke sind insbesondere Veröffentlichung und Buchbarkeit von Angeboten, Verfügbarkeits- und Kapazitätsprüfung, Buchungsverwaltung, Zahlungsstatus, Bestätigungs- und Servicemails, Stornierung, Check-in, Kundenhistorie und Support.

Betroffene Personen: buchende und teilnehmende Gäste, Kontaktpersonen des Auftraggebers, Teammitglieder sowie Interessenten. Datenarten: Stamm- und Kontaktdaten, Buchungs-, Termin-, Teilnehmer-, Preis-, Zahlungsstatus-, Kommunikations-, Nutzungs-, Protokoll- und gegebenenfalls vom Auftraggeber konfigurierte Zusatzangaben. Besondere Kategorien nach Art. 9 DSGVO dürfen nur verarbeitet werden, wenn dies ausdrücklich vereinbart und technisch vorgesehen ist.

3. Weisungen

Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Verpflichtung besteht. Konfigurationen und Handlungen im Anbieterkonto gelten als Weisungen. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber und darf ihre Ausführung bis zur Klärung aussetzen.

4. Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet zur Vertraulichkeit, setzt geeignete technische und organisatorische Maßnahmen ein, unterstützt den Auftraggeber angemessen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen und Nachweispflichten und stellt erforderliche Informationen zur Verfügung. Er berichtigt, löscht oder beschränkt Daten nach dokumentierter Weisung, soweit der Auftraggeber dies nicht selbst im System ausführen kann.

5. Sicherheit und Datenschutzverletzungen

Zu den Maßnahmen gehören insbesondere verschlüsselte Übertragung, rollenbasierte Zugriffe, Mandantentrennung und Datenbankrichtlinien, sichere Authentifizierung, Protokollierung sicherheitsrelevanter Vorgänge, Schutz von Geheimnissen, Datensicherungen, Wiederherstellungsverfahren, Patch- und Berechtigungsmanagement sowie regelmäßige Überprüfung der Wirksamkeit. Der Auftragnehmer meldet Verletzungen des Schutzes auftragsverarbeiteter Daten unverzüglich nach Bekanntwerden und stellt die verfügbaren Informationen für Pflichten nach Art. 33 und 34 DSGVO bereit.

6. Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung für Unterauftragsverarbeiter. Zum vorgesehenen Kernbestand gehören insbesondere Supabase für Datenbank, Authentifizierung und Speicher, Vercel für Hosting und Auslieferung sowie der konfigurierte E-Mail-Dienst für Transaktionsnachrichten. Stripe handelt bei regulierten Zahlungs-, Identitäts- und Betrugsprüfungen regelmäßig eigenverantwortlich; reine technische Teilverarbeitungen werden entsprechend vertraglich abgesichert.

Über wesentliche Änderungen informiert der Auftragnehmer in angemessener Weise. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Lässt sich keine zumutbare Lösung finden, kann die betroffene Leistung außerordentlich beendet werden. Unterauftragsverarbeiter werden mindestens zu gleichwertigen Datenschutzpflichten verpflichtet.

7. Drittlandtransfers

Verarbeitungen außerhalb von EU/EWR erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien wie EU-Standardvertragsklauseln einschließlich erforderlicher ergänzender Maßnahmen.

8. Kontrollen und Nachweise

Der Auftragnehmer stellt geeignete Nachweise zur Verfügung und ermöglicht bei berechtigtem Anlass Audits durch den Auftraggeber oder einen zur Vertraulichkeit verpflichteten Prüfer. Prüfungen sind rechtzeitig anzukündigen, auf das Erforderliche zu begrenzen und dürfen Sicherheit, Vertraulichkeit anderer Kunden und laufenden Betrieb nicht unangemessen beeinträchtigen. Unverhältnismäßiger Zusatzaufwand kann nach vorheriger Abstimmung berechnet werden.

9. Rückgabe und Löschung

Nach Ende des Hauptvertrags löscht oder gibt der Auftragnehmer auf Wahl des Auftraggebers die auftragsverarbeiteten Daten zurück, soweit keine gesetzliche Speicherungspflicht besteht. Sicherungskopien werden im regulären Löschzyklus überschrieben und bis dahin gesperrt. Der Auftraggeber ist für einen rechtzeitigen Export benötigter Daten verantwortlich.

10. Verantwortlichkeit und Rangfolge

Der Auftraggeber bleibt für Rechtmäßigkeit, Transparenz, Rechtsgrundlagen, Datenminimierung, Aufbewahrungsfristen und Betroffenenanfragen verantwortlich. Bei Widersprüchen gehen diese Datenschutzregelungen für Auftragsverarbeitungen dem Hauptvertrag vor. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO oder sonstiges zwingendes Recht nichts anderes bestimmen.