Vereinbarung zur Auftragsverarbeitung

1. Parteien und Gegenstand

Verantwortlicher im Sinne der DSGVO ist der Kunde, der das Angebot von Hotelfreunde bestellt hat (nachfolgend „Kunde“). Auftragsverarbeiter ist Martin Thun, handelnd unter „Hotelfreunde“, Bahnhofstr. 2a, 86500 Kutzenhausen, E-Mail: info@hotelfreunde.com (nachfolgend „Hotelfreunde“).

Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten, die Hotelfreunde bei der Erbringung der vereinbarten Leistungen für den Kunden durchführt. Dazu gehören je nach Leistungsumfang insbesondere:

• das Hosting, der Betrieb, die Wartung und die Sicherung der Website des Kunden,
• die technische Weiterleitung von Anfragen, die Besucher über Formulare auf der Website stellen,
• der Betrieb des Gäste-Chatbots,
• die Bereitstellung des Bewertungssystems sowie das Formulieren und Veröffentlichen von Antworten auf Google-Bewertungen im Namen des Kunden,
• die Einrichtung und Betreuung von Google Analytics, der Google Search Console und des Google-Unternehmensprofils, soweit Hotelfreunde dabei Zugriff auf personenbezogene Daten erhält.

Die Vereinbarung gilt für die Dauer des Hauptvertrags. Sie endet erst, wenn Hotelfreunde alle Daten des Kunden nach Ziffer 8 gelöscht oder zurückgegeben hat.

2. Art und Zweck der Verarbeitung, Daten und Betroffene

Zwecke: sichere und technisch fehlerfreie Bereitstellung der Website, Weiterleitung von Anfragen an den Kunden, automatisierte Beantwortung von Gästefragen durch den Chatbot, Beantwortung von Google-Bewertungen im Namen des Kunden, Auswertung der Website-Nutzung für den Kunden sowie Wartung und Fehlerbehebung.

Arten von Daten:

• technische Zugriffsdaten, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Angaben zu Browser und Betriebssystem,
• Inhalte von Anfragen, zum Beispiel Name, E-Mail-Adresse, Telefonnummer, Reisedaten und Nachricht,
• Nachrichten an den Chatbot, die Antworten und eine zufällige Sitzungskennung,
• pseudonyme Nutzungsdaten in Google Analytics und Suchdaten in der Google Search Console,
• Bewertungen von Gästen bei Google mit Name oder Profilname der bewertenden Person, Sternebewertung, Text und Datum sowie die Antworten darauf,
• Kontaktdaten der Ansprechpersonen des Kunden.

Betroffene Personen: Besucher der Website, Gäste und Interessenten, die eine Anfrage stellen, den Chatbot nutzen oder eine Bewertung abgeben, sowie Beschäftigte und Ansprechpersonen des Kunden.

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen. Formulare und Chatbot fordern solche Daten nicht an.

3. Weisungen

Hotelfreunde verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus dem Hauptvertrag, den AGB und dieser Vereinbarung. Weitere Weisungen erteilt der Kunde in Textform, zum Beispiel per E-Mail.

Eine Verarbeitung ohne Weisung erfolgt nur, wenn Hotelfreunde nach dem Recht der Union oder Deutschlands dazu verpflichtet ist. In diesem Fall teilt Hotelfreunde dem Kunden diese Pflicht vorher mit, sofern das Gesetz eine solche Mitteilung nicht verbietet.

Ist Hotelfreunde der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist Hotelfreunde den Kunden unverzüglich darauf hin und kann die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

4. Vertraulichkeit

Hotelfreunde setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gibt ihnen Zugriff nur, soweit sie ihn für ihre Aufgabe brauchen.

5. Technische und organisatorische Maßnahmen

Hotelfreunde trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Hotelfreunde darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter.

Hotelfreunde darf weitere Unterauftragsverarbeiter einsetzen oder bestehende ersetzen. Hotelfreunde informiert den Kunden darüber mindestens 14 Tage vorher in Textform. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann jede Partei den betroffenen Teil des Vertrags außerordentlich kündigen.

Hotelfreunde verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das dieser Vereinbarung entspricht. Daten werden nur dann in ein Land außerhalb der EU oder des EWR übermittelt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Dienste, mit denen der Kunde selbst einen Vertrag schließt, sind keine Unterauftragsverarbeiter von Hotelfreunde. Das gilt insbesondere für Google Analytics, die Google Search Console, das Google-Unternehmensprofil und die Buchungsmaschine des Kunden, auch wenn Hotelfreunde die Konten nach Ziffer 8 der AGB im Namen des Kunden eingerichtet hat.

7. Unterstützung des Kunden

Hotelfreunde unterstützt den Kunden mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen nach Art. 12 bis 22 DSGVO zu beantworten. Wendet sich eine betroffene Person direkt an Hotelfreunde, leitet Hotelfreunde die Anfrage unverzüglich an den Kunden weiter.

Hotelfreunde unterstützt den Kunden außerdem bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, also bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei einer gegebenenfalls nötigen Datenschutz-Folgenabschätzung.

Wird Hotelfreunde eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert Hotelfreunde den Kunden unverzüglich in Textform. Die Information enthält, soweit bekannt, die Art der Verletzung, die betroffenen Daten und Personen, die wahrscheinlichen Folgen und die ergriffenen Gegenmaßnahmen.

Für Unterstützungsleistungen, die über den üblichen Umfang hinausgehen und nicht auf einem Verstoß von Hotelfreunde beruhen, kann Hotelfreunde eine angemessene Vergütung verlangen.

8. Löschung und Rückgabe

Nach Ende des Vertrags löscht Hotelfreunde alle personenbezogenen Daten des Kunden oder gibt sie nach seiner Wahl zurück, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Die Herausgabe der Website-Dateien und der Wissensgrundlage des Chatbots richtet sich nach Ziffer 8 der AGB.

Daten in Sicherungskopien werden im regulären Löschzyklus der Sicherungen entfernt. Bis dahin sind sie vor jeder weiteren Verarbeitung geschützt.

Während der Vertragslaufzeit speichert Hotelfreunde Chatverläufe nur so lange, wie es für den Betrieb und die Verbesserung des Chatbots erforderlich ist, und löscht sie danach.

9. Nachweise und Kontrollen

Hotelfreunde stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus dieser Vereinbarung erforderlich sind.

Der Kunde kann die Einhaltung kontrollieren. Das erfolgt in der Regel durch schriftliche Auskünfte und Unterlagen. Eine Kontrolle vor Ort ist nach Anmeldung mit angemessener Frist während der üblichen Geschäftszeiten möglich, wenn ein konkreter Anlass besteht, und darf den Betrieb nicht unverhältnismäßig stören. Die Kosten einer Kontrolle trägt der Kunde, es sei denn, sie deckt einen Verstoß von Hotelfreunde auf.

10. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Dazu gehören insbesondere die Rechtsgrundlagen, die Informationen in seiner Datenschutzerklärung und die Einwilligung der Besucher in Messdienste. Stellt der Kunde Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er Hotelfreunde unverzüglich.

11. Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO, im Übrigen gelten die Regelungen der AGB. Widersprechen sich diese Vereinbarung und die AGB in Fragen des Datenschutzes, geht diese Vereinbarung vor.

Änderungen dieser Vereinbarung bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Unterauftragsverarbeiter

• ALL-INKL.COM, Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland. Hosting der Website, Server-Zugriffsdaten und Sicherungen sowie Entgegennahme von Formularanfragen auf dem Server und deren Versand per E-Mail an den Kunden. Ort der Verarbeitung: Deutschland.
• Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Angemieteter Server, auf dem Hotelfreunde die Automatisierungsplattform n8n für den Gäste-Chatbot und die Antworten auf Bewertungen betreibt. Ort der Verarbeitung: Frankfurt am Main, Deutschland.
• EUrouter B.V., Jacob van Lennepstraat 78H, 1053 HM Amsterdam, Niederlande. Vermittlung der Chatbot-Anfragen und der Entwürfe für Antworten auf Bewertungen an KI-Modelle in Rechenzentren innerhalb der EU. Nachrichten und Antworten werden nach Angaben des Anbieters nach der Verarbeitung nicht gespeichert. Ort der Verarbeitung: Europäische Union.

Anlage 2: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zugriff auf Kundendaten haben nur Martin Thun und Personen, die nach Ziffer 4 zur Vertraulichkeit verpflichtet sind.
• Für alle Konten gelten individuelle, starke Passwörter. Wo ein Dienst Zwei-Faktor-Authentifizierung anbietet, ist sie aktiviert.
• Zugänge zu Konten des Kunden laufen über eigene Benutzer oder Einladungen, nicht über geteilte Hauptzugänge.
• Arbeitsgeräte sind passwortgeschützt, werden aktuell gehalten und sperren sich bei Abwesenheit.

Integrität

• Die Website wird nur verschlüsselt ausgeliefert (HTTPS mit erzwungener Weiterleitung und HSTS).
• Dateien werden ausschließlich verschlüsselt auf den Server übertragen (FTPS).
• Änderungen an Websites werden versioniert und sind nachvollziehbar.

Verfügbarkeit und Belastbarkeit

• Hosting in Rechenzentren in Deutschland mit den Sicherungen des Hosters.
• Jede Website liegt zusätzlich als vollständiger Versionsstand bei Hotelfreunde und kann jederzeit neu eingespielt werden.

Datensparsamkeit und Trennung

• Formulare fragen nur ab, was für die Bearbeitung einer Anfrage nötig ist.
• Mess- und Werbedienste werden erst nach Einwilligung der Besucher geladen. Schriften liegen lokal auf dem Server.
• Die Daten jedes Kunden liegen getrennt, in eigenen Bereichen auf dem Server und in eigenen Google-Konten.

Überprüfung

• Hotelfreunde prüft die Maßnahmen regelmäßig und passt sie bei Bedarf an.