Vertrag zur Auftragsverarbeitung

Auftragsverarbeiter ist Dominik Lenhart, handelnd unter Verge-One, Galgenanger 4, 97437 Haßfurt, Deutschland.

Gegenstand ist der Betrieb von Keyset für deinen Betrieb: Verwaltung von Unterkünften, Buchungen und Gästen, Betrieb deiner Buchungsseite, Versand von Buchungsbestätigungen und die Abstimmung von Kalendern mit Diensten, die du anbindest. Der Vertrag gilt, solange wir Daten in deinem Auftrag verarbeiten.

Betroffen sind deine Gäste und Buchenden sowie Personen, die du in dein Team einlädst.

Verarbeitet werden: Namen, E-Mail-Adressen und Telefonnummern, Anreise, Abreise und Personenzahl, Buchungs- und Stornierungsdaten, Beträge und Zahlungsstatus (keine Kartendaten), Nachrichten und Notizen zu Buchungen sowie bei Teammitgliedern Name, E-Mail-Adresse, Rolle und Anmeldedaten.

Wir verarbeiten die Daten nur nach deinen dokumentierten Weisungen. Deine Weisungen sind dieser Vertrag, die Einstellungen und Handlungen in Keyset und deine Weisungen in Textform. Halten wir eine Weisung für rechtswidrig, sagen wir dir das unverzüglich.

Eine Verarbeitung außerhalb der Weisungen findet nur statt, soweit wir gesetzlich dazu verpflichtet sind; dann informieren wir dich vorher, soweit das Gesetz es erlaubt.

Wer bei uns Zugriff auf die Daten hat, ist zur Vertraulichkeit verpflichtet. Zugriff auf Daten deines Betriebs nehmen wir nur, wenn es für den Betrieb, die Fehlerbehebung oder deine Anfrage nötig ist; Unterstützungszugriffe sind zeitlich begrenzt und werden protokolliert.

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

Du stimmst dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Neue oder ersetzte Unterauftragsverarbeiter kündigen wir mindestens vier Wochen vorher in Textform an. Du kannst aus wichtigem datenschutzrechtlichem Grund widersprechen; können wir keine Lösung finden, kannst du den Vertrag zum Zeitpunkt des Wechsels kündigen.

Wir verpflichten Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

Nicht Unterauftragsverarbeiter sind Dienste, die du selbst beauftragst und mit Keyset verbindest, insbesondere Stripe für die Zahlungen deiner Gäste und Buchungsportale oder Kalenderdienste, deren Kalender du einbindest. Für sie gelten deine eigenen Verträge mit diesen Anbietern.

Wir unterstützen dich mit den Funktionen von Keyset und auf Anfrage dabei, Anfragen betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) und deine Pflichten nach Art. 32 bis 36 DSGVO zu erfüllen. Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage an dich weiter.

Erfahren wir von einer Verletzung des Schutzes der Daten deines Betriebs, informieren wir dich unverzüglich, möglichst innerhalb von 48 Stunden, mit den Angaben, die du für eine Meldung nach Art. 33 DSGVO brauchst, soweit sie uns vorliegen.

Nach Ende des Vertrags löschen wir die Daten deines Betriebs, sobald du es verlangst, und stellen sie dir auf Wunsch vorher in einem gängigen Format bereit. Bis dahin bewahren wir sie auf, damit du Keyset fortsetzen kannst. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Wir stellen dir die Informationen bereit, die du zum Nachweis der Einhaltung dieses Vertrags brauchst. Überprüfungen vor Ort sind nach rechtzeitiger Ankündigung zu üblichen Geschäftszeiten und ohne Störung des Betriebs möglich; vorrangig genügen schriftliche Auskünfte.

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln unserer Allgemeinen Geschäftsbedingungen. Bei Widersprüchen geht dieser Vertrag den Allgemeinen Geschäftsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht.

• Betrieb in einem Rechenzentrum der Hetzner Online GmbH in Deutschland; physischer Zutritt nach den Maßnahmen von Hetzner.
• Verschlüsselte Übertragung (TLS) für alle Verbindungen zu Keyset und zur Buchungsseite.
• Zugang nur mit persönlichem Konto, bestätigter E-Mail-Adresse und Passwort von mindestens zwölf Zeichen; Begrenzung von Anmeldeversuchen.
• Rollen je Unterkunft (Inhaber, Verwaltung, Mitarbeit, Nur ansehen); jede Abfrage wird in der Datenbank auf den Betrieb beschränkt (Row Level Security).
• Serverzugang nur per Schlüssel, getrennte Datenbankrollen für Anwendung, Hintergrundprozesse und Migrationen.
• Protokolle ohne IP-Adressen der Besucher, ohne Gastdaten und ohne Zugangsdaten; Unterstützungszugriffe werden mit Grund und Dauer protokolliert.
• Fehlerberichte werden vor dem Speichern von Gastdaten, Zugangsdaten und Cookies bereinigt, nur auf unserem eigenen Server gespeichert und nach 30 Tagen gelöscht.
• Datensicherung: eine Sicherung der Datenbank vor jeder Änderung an der Software, auf dem Server gespeichert und nur für Administratoren lesbar; eine regelmäßige, verschlüsselte Sicherung an einem zweiten Standort in der EU richten wir ein und tragen sie hier ein.

• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland – Hosting von Anwendung, Datenbank und Dateien in Deutschland.
• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA – Auslieferung und Schutz der Verbindungen (TLS, Abwehr von Angriffen); Verarbeitung von Verbindungsdaten, auch außerhalb der EU, auf Grundlage des EU-US Data Privacy Framework und der Standardvertragsklauseln.
• Resend, Inc., San Francisco, USA – Versand von E-Mails, etwa Buchungsbestätigungen an Gäste und Einladungen an dein Team, über Server in der EU (Irland); Übermittlung in die USA nur auf Grundlage der Standardvertragsklauseln.