Vertrag zur Auftragsverarbeitung (AVV)

nach Art. 28 Abs. 3 DSGVO zwischen dem Campingplatz als Verantwortlichem („Auftraggeber“) und der Lagentu UG (haftungsbeschränkt), Heimstraße 39a, 82131 Gauting, vertreten durch den Geschäftsführer Giora Schein, eingetragen im Handelsregister des Amtsgerichts München unter HRB 317461, als Auftragsverarbeiter („Auftragnehmer“)

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um die Software glampr nach dem Nutzungsvertrag (AGB) bereitzustellen: Buchung, Gästeverwaltung, Meldeschein, Kurtaxe, Rechnung und Zahlung, Kommunikation, Telefon-Assistentin, Team-Aufgaben, Website und Gästeseiten.

(2) Der AVV gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

§ 2 Art, Zweck, Daten und Betroffene

• Art der Verarbeitung: Speichern, Ordnen, Abfragen, Übermitteln an vom Auftraggeber eingeschaltete Dienste, Sprachverarbeitung, Löschen.
• Datenarten: Stammdaten (Name, Anschrift, Geburtsdatum, Staatsangehörigkeit), Kontaktdaten, Buchungs- und Aufenthaltsdaten, Fahrzeugkennzeichen, Meldeschein- und Ausweisangaben, Kurtaxe-Angaben, Zahlungs- und Rechnungsdaten, Nachrichten, Gesprächsaufnahmen und Mitschriften, Fotos von Gästemeldungen, Nutzerdaten des Teams.
• Betroffene: Gäste und Mitreisende, Interessenten und Anrufer, Beschäftigte des Auftraggebers.
• Besondere Kategorien nach Art. 9 DSGVO werden nicht planmäßig verarbeitet. Der Auftraggeber sorgt dafür, dass sie nicht in Freitextfelder eingegeben werden, soweit vermeidbar.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, es sei denn, er ist gesetzlich dazu verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). Die Einstellungen in glampr und der Nutzungsvertrag gelten als Weisung.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO).

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in der Anlage 1 beschrieben sind. Er darf sie durch gleichwertige oder bessere Maßnahmen ersetzen.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die Unterauftragsverarbeiter der in Anlage 2 genannten Kategorien gemäß der dem Auftraggeber übergebenen aktuellen Liste. Dienste, die der Auftraggeber in glampr nicht einschaltet, erhalten keine Daten.

(2) Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 30 Tage vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Lösung möglich, kann er den betroffenen Dienst abschalten oder den Vertrag kündigen.

(3) Der Auftragnehmer legt den Unterauftragsverarbeitern dieselben Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO). Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage des EU-US Data Privacy Framework oder der EU-Standardvertragsklauseln.

§ 7 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Export), soweit möglich durch Funktionen in glampr (Art. 28 Abs. 3 lit. e DSGVO).

(2) Er unterstützt bei Meldungen von Datenpannen, Datenschutz-Folgenabschätzungen und Konsultationen der Aufsicht (Art. 32 bis 36 DSGVO).

(3) Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.

§ 8 Löschung und Rückgabe

Nach Vertragsende stellt der Auftragnehmer die Daten 30 Tage zum Export bereit und löscht sie danach einschließlich der Kopien, sofern keine Pflicht zur Speicherung besteht. Sicherungskopien werden im regulären Zyklus überschrieben; aufbewahrt werden 14 tägliche, 8 wöchentliche und 6 monatliche Sicherungen (Art. 28 Abs. 3 lit. g DSGVO).

§ 9 Nachweise und Kontrollen

Der Auftragnehmer stellt alle Informationen zum Nachweis seiner Pflichten bereit und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung, in der Regel einmal jährlich (Art. 28 Abs. 3 lit. h DSGVO).

§ 10 Haftung und Schluss

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Nutzungsvertrags.

(2) Bei Widersprüchen geht dieser AVV dem Nutzungsvertrag vor. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

• Zutritt: Server ausschließlich in zertifizierten Rechenzentren in Deutschland (ISO/IEC 27001); kein eigener Serverraum.
• Zugang: Server-Zugang nur mit kryptografischem Schlüssel; Anmeldung im Programm mit Passwort (nur als gesicherter Prüfwert gespeichert) und Zwei-Faktor-Anmeldung (TOTP), Sperre nach Fehlversuchen.
• Zugriff: Rollen- und Rechtekonzept (Inhaber, Rezeption, Platzwart, Housekeeping, Security); Teamrollen sehen keine Kontakt- und Geldangaben der Gäste.
• Trennung: eigene Datenbank je Campingplatz.
• Weitergabe: Übertragung ausschließlich verschlüsselt (TLS); Zweitsicherung verschlüsselt.
• Eingabekontrolle: Protokollierung von Änderungen an Buchungen, Rechnungen und Rechtstexten (Änderungshistorie, GoBD).
• Verfügbarkeit: tägliche Sicherung aller Datenbanken (Aufbewahrung: 14 tägliche, 8 wöchentliche und 6 monatliche Sicherungen), zusätzliche Kopie in einem zweiten Rechenzentrum in der EU, Sicherung vor jeder Programmänderung, Überwachung der Dienste.
• Datensparsamkeit: automatische Löschfristen (Meldescheine, Ausweisfotos, Gesprächsaufnahmen, Gästemeldungen).
• Überprüfung: regelmäßige Prüfung der Maßnahmen und Sicherheits-Audits des Codes.

Anlage 2: Unterauftragsverarbeiter

Der Auftragnehmer setzt Unterauftragsverarbeiter in folgenden Kategorien ein:

Die aktuelle Liste der Unterauftragsverarbeiter mit Namen und Sitz erhalten Kunden vor Vertragsschluss und im Kundenbereich. Änderungen werden mindestens 30 Tage vorher angekündigt (§ 6 Abs. 2, Art. 28 Abs. 2 DSGVO).

Zahlungsdienstleister schließt der Auftraggeber direkt an; sie handeln für Zahlungsdaten in eigener Verantwortung und sind keine Unterauftragsverarbeiter des Auftragnehmers.