Auftragsverarbeitungsvertrag

nach Art. 28 DSGVO

Zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und der visiosoft GmbH, Pöllau 210, 8311 Markt Hartmannsdorf, Österreich, als Auftragsverarbeiter („Auftragnehmer“). Er wird mit der Bestellung abgeschlossen und gilt für die Dauer des Hauptvertrags.

1. Gegenstand, Art und Zweck

Der Auftragnehmer übernimmt Gästedaten aus dem PMS des Auftraggebers, speichert sie und übermittelt sie an das vom Auftraggeber gewählte Melde- bzw. Gästekartensystem. Zweck ist die Erfüllung der gesetzlichen Meldepflicht und der Ortstaxe- bzw. Kurtaxepflicht des Auftraggebers.

Schaltet der Auftraggeber im Portal die Webseiten-Statistik für seine eigene Webseite ein, erfasst der Auftragnehmer zusätzlich die Aufrufe dieser Webseite ohne Cookies: aufgerufene Seite, verweisende Webseite, Kampagnen-Angaben, Geräteart sowie Land, Region und ungefährer Ort. Die IP-Adresse wird nur kurzzeitig im Arbeitsspeicher verarbeitet (Herkunft, täglich wechselnder Besucher-Prüfwert) und nicht gespeichert. Zweck ist die Auswertung der Nutzung der Webseite des Auftraggebers.

Betroffene PersonenGäste und Mitreisende des Auftraggebers; Benutzer des Auftraggebers im Portal; bei eingeschalteter Webseiten-Statistik: Besucher der Webseite des Auftraggebers
DatenartenName, Geburtsdatum, Geschlecht, Staatsangehörigkeit, Anschrift, Reisedokument (Art, Nummer), An- und Abreisedatum, Unterkunft, Buchungsnummer, bei Bedarf E-Mail und Telefon; Zugangsdaten zu PMS und Meldesystem; bei Webseiten-Statistik: Seitenaufrufe (Seite, verweisende Webseite, Geräteart, Land, Region, ungefährer Ort, täglicher Besucher-Prüfwert) ohne IP-Adresse
Besondere Kategorien (Art. 9)keine
Ort der VerarbeitungServer der visiosoft GmbH in Österreich
Speicherdauerfür die Dauer des Vertrags. Auf Weisung des Auftraggebers löscht der Auftragnehmer einzelne Daten jederzeit; nach Vertragsende gilt Abschnitt 5. Für die Daten, die an die Meldesysteme übermittelt wurden, legen deren Betreiber die Löschfristen fest.

2. Weisungen

  1. 2.1 Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Einstellungen im Portal, insbesondere die Zuordnung von Apartments zu Meldesystemen, gelten als Weisung.
  2. 2.2 Die Übermittlung an Meldesysteme und Behörden erfolgt auf Weisung des Auftraggebers. Diese Stellen sind Empfänger, keine Unterauftragsverarbeiter.
  3. 2.3 Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das unverzüglich mit.

3. Pflichten des Auftragnehmers

  1. 3.1 Vertraulichkeit: Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.
  2. 3.2 Sicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Anlage 1.
  3. 3.3 Unterstützung: Er unterstützt den Auftraggeber bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung) und bei Datenschutz-Folgenabschätzungen.
  4. 3.4 Datenpannen: Eine Verletzung des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
  5. 3.5 Nachweise: Er stellt die zum Nachweis nötigen Informationen bereit und ermöglicht Kontrollen nach Voranmeldung.

4. Unterauftragsverarbeiter

Der Auftraggeber stimmt den folgenden Unterauftragsverarbeitern zu. Über neue informiert der Auftragnehmer mindestens 30 Tage im Voraus; der Auftraggeber kann aus wichtigem Grund widersprechen. Server und Datenbank betreibt der Auftragnehmer selbst in Österreich; die verschlüsselten Sicherungen liegen bei Microsoft.

UnternehmenLeistungOrt
Microsoft Ireland Operations Ltd.E-Mail-Versand über Microsoft 365 (Benachrichtigungen, Portal-Mails)EU
Microsoft Ireland Operations Ltd.Tägliche verschlüsselte Datensicherung (Cloudspeicher)EU

5. Ende des Auftrags

Nach Vertragsende löscht der Auftragnehmer alle Daten des Auftraggebers innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch gibt er sie vorher in einem gängigen Format heraus.

Anlage 1: Technische und organisatorische Maßnahmen