Vereinbarung zur Verarbeitung personenbezogener Daten im Auftrag

Präambel

Diese Vereinbarung zur Auftragsverarbeitung (nachfolgend AV-Vertrag) wird zwischen dem Kunden (nachfolgend Auftraggeber) und der MinderProperty GmbH, Ballindamm 27, 20095 Hamburg (nachfolgend Auftragsverarbeiter) geschlossen. Sie konkretisiert die datenschutzrechtlichen Pflichten der Parteien bei der Verarbeitung personenbezogener Daten im Auftrag im Rahmen der zwischen den Parteien bestehenden Hauptvereinbarung über die Bereitstellung von Erweiterungsmodulen zum SiteMinder-System. Der AV-Vertrag ergänzt die Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters und ist zwingender Bestandteil des Hauptvertrages, soweit personenbezogene Daten Dritter auf den Systemen des Auftragsverarbeiters verarbeitet werden.

§ 1 Gegenstand und Dauer

Gegenstand der Verarbeitung ist die Bereitstellung der vom Auftraggeber gebuchten Erweiterungen und die im Rahmen dieser Bereitstellung anfallende Verarbeitung personenbezogener Daten der Kundinnen und Kunden des Auftraggebers. Der AV-Vertrag beginnt mit der Inbetriebnahme der ersten Erweiterung und endet mit Beendigung des Hauptvertrages, spätestens mit der vollständigen Löschung oder Rückgabe aller personenbezogenen Daten des Auftraggebers durch den Auftragsverarbeiter. Eine Kündigung des AV-Vertrages ist nur zusammen mit der Kündigung des Hauptvertrages möglich, es sei denn, ein wichtiger Grund im Sinne des Datenschutzrechts liegt vor.

§ 2 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet die überlassenen personenbezogenen Daten ausschließlich zu dem Zweck, die im Hauptvertrag beschriebenen Erweiterungen zu betreiben, die Anbindung an das offizielle SiteMinder-System zu ermöglichen und die dafür notwendigen technischen Prozesse durchzuführen. Zu den typischen Verarbeitungstätigkeiten zählen: das Auslesen von Reservierungsdaten aus dem SiteMinder-System des Auftraggebers, die Zwischenspeicherung dieser Daten in einem verschlüsselten Cache, die Aufbereitung der Daten für die Anzeige innerhalb der Erweiterung, das Zurückschreiben veränderter Angaben in das SiteMinder-System sowie die Erstellung technischer Protokolle zur Nachvollziehbarkeit der Vorgänge. Eine weitergehende Verarbeitung, insbesondere zur eigenen Werbung, zu Zwecken der Profilbildung oder zu Zwecken der Marktforschung, findet nicht statt.

§ 3 Kategorien betroffener Personen und Datenarten

Die Verarbeitung betrifft insbesondere die folgenden Kategorien betroffener Personen: Gäste des Auftraggebers, die eine Reservierung, eine Bewertung oder eine sonstige Anfrage an den Betrieb des Auftraggebers gerichtet haben; Ansprechpartner in den Häusern und im Umfeld des Auftraggebers, die im Rahmen der operativen Nutzung der Erweiterungen tätig werden; sowie interne Nutzer beim Auftraggeber, die die Erweiterungen bedienen. Zu den verarbeiteten Datenarten zählen typische Reservierungsdaten (Name, Anschrift, E-Mail-Adresse, Telefonnummer, Zeitraum des Aufenthalts, Anzahl der Personen, gebuchtes Zimmer, Preis, Zahlungsstatus), Kommunikationsdaten (Nachrichten im Rahmen des Gästekontakts), technische Protokolldaten (IP-Adresse, Zeitstempel, verwendete Aktion) sowie in Ausnahmefällen Sonderwünsche, sofern diese durch den Gast selbst mitgeteilt wurden.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach den Weisungen des Auftraggebers. Er hält die datenschutzrechtlichen Vorschriften, insbesondere die Datenschutz-Grundverordnung und das Bundesdatenschutzgesetz, ein. Der Auftragsverarbeiter verpflichtet sich, alle mit der Datenverarbeitung befassten Personen zur Vertraulichkeit im Sinne von Art. 28 Absatz 3 Satz 2 Buchstabe b DSGVO zu verpflichten. Er trifft die erforderlichen technischen und organisatorischen Maßnahmen zur Sicherheit der Verarbeitung im Sinne von Art. 32 DSGVO, unterstützt den Auftraggeber bei der Wahrnehmung der Rechte der betroffenen Personen, bei der Meldung von Datenschutzvorfällen und bei der Durchführung von Datenschutz-Folgenabschätzungen. Nach Abschluss des Hauptvertrages löscht der Auftragsverarbeiter die verarbeiteten Daten oder gibt sie an den Auftraggeber zurück, sofern nicht eine Aufbewahrungspflicht nach Unionsrecht oder nationalem Recht entgegensteht.

§ 5 Weisungsrecht des Auftraggebers

Der Auftraggeber hat das Recht, dem Auftragsverarbeiter Weisungen zur Art und zum Umfang der Verarbeitung zu erteilen. Weisungen bedürfen grundsätzlich der Textform (E-Mail, Ticketsystem, Schriftstück). Mündliche Weisungen werden vom Auftragsverarbeiter unverzüglich in Textform bestätigt und protokolliert. Der Auftragsverarbeiter weist den Auftraggeber unverzüglich hin, wenn er der Ansicht ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Der Auftragsverarbeiter ist in einem solchen Fall berechtigt, die Ausführung der betreffenden Weisung bis zur Bestätigung oder Änderung durch den Auftraggeber auszusetzen. Weisungsberechtigt ist auf Seiten des Auftraggebers die im Kundenkonto hinterlegte Kontaktperson mit der Rolle „Datenschutz“.

§ 6 Unterauftragnehmer

Der Auftraggeber erteilt dem Auftragsverarbeiter mit Abschluss dieses AV-Vertrages eine allgemeine schriftliche Genehmigung zur Einbindung weiterer Auftragsverarbeiter (Unterauftragnehmer). Der Auftragsverarbeiter ist verpflichtet, die Unterauftragnehmer sorgfältig auszuwählen, mit ihnen einen datenschutzrechtlichen Vertrag mit den Anforderungen des Art. 28 DSGVO zu schließen und ihre Einhaltung regelmäßig zu überprüfen. Änderungen im Bestand der Unterauftragnehmer werden dem Auftraggeber mindestens vier Wochen vor Wirksamwerden per E-Mail an die im Kundenkonto hinterlegte Datenschutzadresse mitgeteilt; der Auftraggeber kann der Änderung innerhalb von zwei Wochen ab Zugang der Mitteilung aus wichtigem Grund widersprechen. Widerspricht der Auftraggeber, sind die Parteien zu einer einvernehmlichen Lösung verpflichtet; kommt eine solche nicht zustande, sind beide Parteien berechtigt, den betroffenen Teil des Hauptvertrages außerordentlich zu kündigen.

Aktuelle Unterauftragnehmer sind:

• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland — Betrieb der Serverinfrastruktur an den Standorten Falkenstein/Vogtland und Nürnberg.
• Mailjet Deutschland, ein Angebot der Mailgun Technologies Inc. mit europäischem Betrieb in Frankfurt am Main — Zustellung transaktionaler E-Mails wie Zugangs-Links und Rechnungsversand.
• Hamburger Sparkasse AöR, Ecke Adolphsplatz/Gr. Burstah, 20457 Hamburg — Abwicklung des Zahlungsverkehrs.

§ 7 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft die folgenden technischen und organisatorischen Maßnahmen im Sinne des Art. 32 DSGVO, um die Sicherheit der Verarbeitung zu gewährleisten. Die Maßnahmen sind in die Kategorien Vertraulichkeit, Integrität, Verfügbarkeit sowie Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung gegliedert. Die Maßnahmen werden regelmäßig überprüft und dem Stand der Technik angepasst.

a) Vertraulichkeit

• Zutrittskontrolle: Zutritt zu den Rechenzentren ist nur berechtigten Personen möglich. Die Rechenzentren des Unterauftragnehmers Hetzner sind mit Zutrittskontrollen, Videoüberwachung und Alarmanlagen ausgestattet. Zutritt zum Büro der MinderProperty GmbH ist nur mit Chipkarte und persönlicher Identifikation möglich; Besucher werden begleitet.
• Zugangskontrolle: Der Zugang zu den Systemen ist durch individuelle Nutzerkennungen, Zwei-Faktor-Authentifizierung und rollenbasierte Berechtigungen abgesichert. Es werden keine Sammelaccounts verwendet.
• Zugriffskontrolle: Rollenkonzepte stellen sicher, dass Mitarbeitende nur auf Daten zugreifen können, die sie für ihre Aufgaben tatsächlich benötigen. Sämtliche Zugriffe werden protokolliert; die Protokolle werden regelmäßig durch den Datenschutzbeauftragten geprüft.
• Trennungskontrolle: Daten unterschiedlicher Kunden werden logisch getrennt verarbeitet. Testumgebungen und Produktionsumgebungen sind physisch getrennt; für Tests werden keine echten Kundendaten verwendet.

b) Integrität

• Weitergabekontrolle: Der Datentransport zwischen den Systemen erfolgt ausschließlich verschlüsselt über TLS in einer aktuellen Fassung. E-Mails mit personenbezogenen Daten werden über verschlüsselte Verbindungen zugestellt.
• Eingabekontrolle: Änderungen an personenbezogenen Daten werden protokolliert. Aus dem Protokoll ergibt sich, wer wann welche Änderung durchgeführt hat. Diese Protokolle werden für einen begrenzten Zeitraum vorgehalten.

c) Verfügbarkeit

• Verfügbarkeitskontrolle: Es werden tägliche verschlüsselte Sicherungen erstellt und in einem geografisch getrennten Standort abgelegt. Die Wiederherstellbarkeit wird regelmäßig durch dokumentierte Tests überprüft.
• Wiederherstellbarkeit: Für die zentralen Systeme bestehen dokumentierte Wiederherstellungsverfahren mit definierten Zielzeiten. Bei einem Ausfall wird die zuständige Bereitschaft unverzüglich alarmiert.

d) Verfahren zur regelmäßigen Überprüfung

• Datenschutz-Management: Wir betreiben ein dokumentiertes Datenschutz-Management, das die Prozesse zur Wahrung der Rechte der betroffenen Personen, zur Erfüllung der Meldepflichten und zur Durchführung von Datenschutz-Folgenabschätzungen enthält.
• Incident-Response-Management: Für Sicherheitsvorfälle bestehen dokumentierte Prozesse zur Erkennung, Bewertung, Eindämmung, Beseitigung und Nachbereitung von Vorfällen. Der Datenschutzbeauftragte wird bei allen einschlägigen Vorfällen einbezogen.
• Pseudonymisierung und Verschlüsselung: Wo immer dies technisch möglich ist, verwenden wir Pseudonymisierungs- und Verschlüsselungsverfahren nach dem Stand der Technik. Passwörter werden ausschließlich als Hash mit modernem Verfahren gespeichert; sensible Daten wie Zugangsschlüssel zum SiteMinder-System werden zusätzlich mit hardwaregestützten Schlüsseln geschützt.
• Auftragskontrolle: Die Zusammenarbeit mit den Unterauftragnehmern wird durch regelmäßige Prüfungen der vertraglichen und tatsächlichen Einhaltung der datenschutzrechtlichen Anforderungen überwacht. Über die Prüfungen wird ein Protokoll geführt.

§ 8 Meldepflichten

Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von vierundzwanzig Stunden nach Kenntnisnahme, über einen Datenschutzvorfall, der personenbezogene Daten des Auftraggebers betrifft. Die Meldung erfolgt an die im Kundenkonto hinterlegte Datenschutzadresse und enthält alle Angaben, die der Auftraggeber für seine eigene Meldepflicht gegenüber der Aufsichtsbehörde und den betroffenen Personen benötigt. Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten nach Art. 33 und 34 DSGVO und stellt hierzu die vorhandenen Informationen zur Verfügung.

§ 9 Rechte der betroffenen Personen

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet der Auftragsverarbeiter die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet die Anfrage nicht selbst, es sei denn, es ist offensichtlich, dass die Anfrage die eigene Verantwortlichkeit des Auftragsverarbeiters betrifft. Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Wahrnehmung der Rechte der betroffenen Personen mit angemessenen technischen und organisatorischen Maßnahmen und beantwortet Rückfragen des Auftraggebers innerhalb einer angemessenen Frist.

§ 10 Haftung

Die Haftung der Parteien richtet sich nach den einschlägigen datenschutzrechtlichen Vorschriften, insbesondere nach Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen der Allgemeinen Geschäftsbedingungen entsprechend. Der Auftragsverarbeiter haftet nicht für Schäden, die auf einer rechtswidrigen Weisung des Auftraggebers beruhen, die der Auftragsverarbeiter beanstandet hat.

§ 11 Datenlöschung nach Beendigung

Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter die noch bei ihm gespeicherten personenbezogenen Daten des Auftraggebers innerhalb der in der Datenschutzerklärung genannten Frist. Der Auftraggeber kann vor Ablauf dieser Frist einen Export der Daten in einem strukturierten Format anfordern. Aufbewahrungspflichten nach Unionsrecht oder nationalem Recht bleiben unberührt; diese Daten werden entsprechend der jeweiligen Frist aufbewahrt und anschließend gelöscht. Über die Löschung erstellt der Auftragsverarbeiter auf Anforderung ein schriftliches Protokoll.

§ 12 Vertragslaufzeit und Kündigung

Dieser AV-Vertrag beginnt mit der Aufnahme der Verarbeitung und endet mit der Beendigung des Hauptvertrages. Eine gesonderte Kündigung des AV-Vertrages ist nicht möglich, es sei denn, ein wichtiger Grund im Sinne der datenschutzrechtlichen Vorschriften liegt vor. In diesem Fall gelten für die Kündigung des Hauptvertrages die Regelungen der Allgemeinen Geschäftsbedingungen entsprechend.

§ 13 Salvatorische Klausel und Gerichtsstand

Sollten einzelne Bestimmungen dieses AV-Vertrages unwirksam oder undurchführbar sein oder werden, so berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Anstelle der unwirksamen oder undurchführbaren Bestimmung tritt diejenige wirksame und durchführbare Regelung, deren Wirkung der wirtschaftlichen Zielsetzung am nächsten kommt, die die Parteien mit der unwirksamen Bestimmung verfolgt haben. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AV-Vertrag ist Hamburg. Es gilt ausschließlich deutsches Recht unter Ausschluss des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf.

Stand

Diese Vereinbarung zur Auftragsverarbeitung wurde zuletzt im August 2026 überarbeitet. Rückfragen zu einzelnen Regelungen richten Sie bitte an den Datenschutzbeauftragten unter dpo@minderproperty.org. Die jeweils aktuelle Fassung des AV-Vertrages ist Bestandteil des Hauptvertrages und wird dem Auftraggeber vor Aufnahme der Verarbeitung zur Bestätigung vorgelegt.