Auftragsverarbeitungsvertrag (AVV)

Art. 1 Gegenstand und Dauer

Der Anbieter (Auftragsverarbeiter) verarbeitet im Rahmen der Bereitstellung der OneLook24-Plattform personenbezogene Daten im Auftrag des Nutzers (Verantwortlicher). Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Nutzungsvertrags gemäß den Allgemeinen Geschäftsbedingungen (AGB), § 7.

Art. 2 Art, Zweck und Umfang der Verarbeitung

Die Verarbeitung umfasst folgende Kategorien personenbezogener Daten:

• Reservierungsdaten: Name, E-Mail-Adresse, Telefonnummer, Reservierungsdetails (Datum, Uhrzeit, Personenanzahl, Hinweise)
• Stammkundendaten: Name, E-Mail-Adresse, Telefonnummer (sofern angegeben), Registrierungsdatum

Zweck der Verarbeitung ist die technische Bereitstellung der Reservierungs- und Stammkundenfunktionen für den Nutzer. Betroffene Personen sind Kunden des Nutzers (Gäste des Betriebs).

Art. 3 Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Plattformfunktionen durch den Verantwortlichen gilt als dokumentierte Weisung. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine erteilte Weisung nach seiner Einschätzung gegen datenschutzrechtliche Vorschriften verstößt.

Art. 4 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Schweigepflicht unterliegen.

Art. 5 Technisch-organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, insbesondere:

• Verschlüsselung der Daten bei der Übertragung (TLS/HTTPS)
• Verschlüsselung der Daten in der Datenbank (AES-256, bereitgestellt durch Supabase)
• Zugriffskontrolle durch Row-Level Security (RLS) in der Datenbank
• Authentifizierung mittels sicherer Passwort-Hashing-Verfahren
• Regelmäßige Sicherheitsupdates der eingesetzten Softwarekomponenten

Art. 6 Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein, denen gegenüber er datenschutzrechtliche Verpflichtungen entsprechend diesem AVV auferlegt:

Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung für den Einsatz der genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen mit einer Vorlaufzeit von mindestens 30 Tagen, sodass der Verantwortliche Einwände erheben kann.

Art. 7 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) sowie bei der Meldung von Datenschutzverletzungen gemäß Art. 33/34 DSGVO, soweit dies technisch möglich und zumutbar ist. Anfragen sind per E-Mail an E-Mail wird geladen … zu richten.

Art. 8 Löschung und Rückgabe von Daten

Nach Beendigung des Auftrags löscht der Auftragsverarbeiter alle personenbezogenen Daten, die im Auftrag des Verantwortlichen verarbeitet wurden, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschfristen betragen:

• Reservierungsdaten: 2 Jahre nach dem Reservierungsdatum
• Stammkundendaten: 60 Tage nach Abmeldung des Stammkunden

Art. 9 Nachweispflichten

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO festgelegten Pflichten zur Verfügung. Anfragen sind per E-Mail an E-Mail wird geladen … zu richten.