Vertrag zur Auftragsverarbeitung

1. Gegenstand und Geltungsbereich des Vertrags

1.1. Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag“) regelt die Bedingungen, unter denen thePass Kft. (nachfolgend „SabeeApp“ oder „Auftragsverarbeiter“) personenbezogene Daten im Auftrag ihrer Kunden (nachfolgend „Verantwortlicher“) im Zusammenhang mit den von SabeeApp erbrachten cloudbasierten Hotelmanagement-Dienstleistungen verarbeitet.

1.2. Dieser Vertrag gilt für die Nutzung der Software von SabeeApp und der damit verbundenen Dienstleistungen, insbesondere für die Verwaltung von Unterkünften, die Verwaltung von Reservierungs- und Gästedaten, die Gästekommunikation, die Rechnungsstellung, die Unterstützung der Zahlungsabwicklung sowie die Erstellung von Geschäftsberichten und Statistiken.

1.3. Dieser Vertrag ist integraler Bestandteil des zwischen dem Verantwortlichen und SabeeApp geschlossenen Abonnement-, Dienstleistungs- oder Lizenzvertrags (nachfolgend „Hauptvertrag“) und ist zusammen mit dessen Bestimmungen auszulegen.

1.4. Dieser Vertrag gilt für die Verarbeitung personenbezogener Daten gemäß Artikel 28 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (nachfolgend „DSGVO“).

1.5. SabeeApp verarbeitet personenbezogene Daten ausschließlich auf der Grundlage dokumentierter Weisungen des Verantwortlichen, sofern SabeeApp nicht durch das anwendbare Recht der Union oder der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet ist. In einem solchen Fall teilt SabeeApp dem Verantwortlichen die betreffende rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

1.6. Dieser Vertrag gilt nicht für Verarbeitungstätigkeiten, bei denen SabeeApp im eigenen Namen und für eigene Zwecke als Verantwortlicher handelt. Für diese Verarbeitungstätigkeiten gilt die jeweils gültige Datenschutzerklärung von SabeeApp.

2. Begriffsbestimmungen

Die in diesem Vertrag verwendeten Begriffe haben die ihnen in der DSGVO zugewiesene Bedeutung. Insbesondere bezeichnet:

2.1. Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

2.2. Verantwortlicher: Die natürliche oder juristische Person, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.

2.3. Auftragsverarbeiter: Die natürliche oder juristische Person, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

2.4. Betroffene Person: Die natürliche Person, auf die sich die personenbezogenen Daten beziehen.

2.5. Unterauftragsverarbeiter: Jeder weitere Auftragsverarbeiter, den SabeeApp mit der Verarbeitung personenbezogener Daten beauftragt.

2.6. Verletzung des Schutzes personenbezogener Daten: Eine Verletzung der Sicherheit, die zur Vernichtung, zum Verlust oder zur Veränderung, ob unbeabsichtigt oder unrechtmäßig, oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu personenbezogenen Daten führt, die übermittelt, gespeichert oder auf sonstige Weise verarbeitet wurden.

3. Merkmale der Verarbeitung

3.1. Gegenstand der Verarbeitung

Gegenstand der Verarbeitung ist die Verarbeitung personenbezogener Daten, die vom Verantwortlichen in das SabeeApp-System eingegeben oder durch die Nutzung der Dienstleistungen erzeugt werden, zum Zweck der Erbringung cloudbasierter Hotelmanagement-Dienstleistungen.

3.2. Zweck der Verarbeitung

Zweck der Verarbeitung ist die Erbringung der Dienstleistungen von SabeeApp, insbesondere:

• Unterstützung der Verwaltung von Unterkünften und Zimmern;
• Führung von Gäste- und Reservierungsdaten;
• Unterstützung der Check-in- und Check-out-Prozesse;
• Gästekommunikation und Kontaktverwaltung;
• Unterstützung der Rechnungsstellungs- und Zahlungsprozesse;
• Erstellung von Geschäftsberichten und Statistiken;
• Betrieb, Wartung und technische Unterstützung des Systems;
• Erbringung der vom Verantwortlichen genutzten Dienstleistungen.

3.3. Dauer der Verarbeitung

Die Verarbeitung erfolgt während der Laufzeit des Hauptvertrags und kann nach dessen Beendigung gemäß Ziffer 11 dieses Vertrags fortgesetzt werden.

3.4. Kategorien betroffener Personen

Die Verarbeitung kann personenbezogene Daten der folgenden Kategorien betroffener Personen umfassen:

• Gäste und potenzielle Gäste der Unterkunft;
• Personen, die Reservierungen vornehmen;
• Beschäftigte der Unterkunft und Nutzer des SabeeApp-Systems;
• Eigentümer und Vertreter der Unterkunft;
• Geschäftspartner und Kontaktpersonen des Verantwortlichen;
• Sonstige Personen, deren Daten vom Verantwortlichen in das System hochgeladen werden.

3.5. Kategorien verarbeiteter personenbezogener Daten

Abhängig von den genutzten Dienstleistungen und den vom Verantwortlichen ausgewählten Funktionen können die folgenden Kategorien personenbezogener Daten verarbeitet werden:

• Identifikationsdaten: Vorname, Nachname, Gast-ID und Reservierungs-ID.
• Kontaktdaten: E-Mail-Adresse, Telefonnummer und Postanschrift.
• Reservierungsdaten: An- und Abreisedatum, Reservierungsdatum, Zimmerkategorie, Reservierungsstatus und Einzelheiten des Aufenthalts.
• Finanz- und Rechnungsdaten: Rechnungsname, Anschrift, Steuernummer, Zahlungsstatus und Transaktionsreferenzdaten.
• Kommunikationsdaten: Kommunikation mit Gästen, Kommunikationsverlauf und Einwilligungsnachweise.
• Nutzer- und technische Daten: Benutzer-IDs, IP-Adressen, Zugriffs- und Protokolldaten sowie Informationen zur Systemnutzung.
• Sonstige vom Verantwortlichen bereitgestellte Daten: Alle sonstigen personenbezogenen Daten, die der Verantwortliche im Rahmen der Nutzung der Dienstleistungen hochlädt oder erfasst.

3.6. Der Verantwortliche ist dafür verantwortlich, dass die Verarbeitung der in das SabeeApp-System eingegebenen personenbezogenen Daten auf einer geeigneten Rechtsgrundlage beruht und die betroffenen Personen die erforderlichen Informationen erhalten.

3.7. Besondere Kategorien personenbezogener Daten dürfen nur verarbeitet werden, wenn der Verantwortliche eine solche Verarbeitung auf der Grundlage einer geeigneten Rechtsgrundlage und dokumentierter Weisungen rechtmäßig veranlasst. Der Verantwortliche stellt die Einhaltung aller für die Verarbeitung solcher Daten geltenden gesetzlichen Anforderungen sicher.

4. Rechte und Pflichten des Verantwortlichen

4.1. Der Verantwortliche ist für die Rechtmäßigkeit der von ihm festgelegten Zwecke und Mittel der Verarbeitung sowie dafür verantwortlich, dass für die Verarbeitung personenbezogener Daten eine geeignete Rechtsgrundlage besteht.

4.2. Der Verantwortliche stellt sicher, dass die Verarbeitung der an SabeeApp übermittelten oder in das System hochgeladenen personenbezogenen Daten mit der DSGVO und allen sonstigen anwendbaren Datenschutzvorschriften im Einklang steht.

4.3. Der Verantwortliche ist dafür verantwortlich, die betroffenen Personen angemessen zu informieren, die Zwecke der Verarbeitung festzulegen und sicherzustellen, dass die betroffenen Personen ihre Rechte ausüben können.

4.4. Der Verantwortliche erteilt SabeeApp seine Weisungen in dokumentierter Form und stellt sicher, dass diese Weisungen mit den anwendbaren Rechtsvorschriften im Einklang stehen.

4.5. Der Verantwortliche ist berechtigt zu überprüfen, ob SabeeApp ihre Pflichten zur Datenverarbeitung aus diesem Vertrag erfüllt.

5. Pflichten von SabeeApp als Auftragsverarbeiter

5.1. SabeeApp verarbeitet personenbezogene Daten ausschließlich auf der Grundlage des Hauptvertrags, dieses Vertrags und der dokumentierten Weisungen des Verantwortlichen.

5.2. SabeeApp verwendet die im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten weder für eigene, mit den Zwecken der Verarbeitung nicht zusammenhängende Zwecke, noch verkauft SabeeApp diese Daten.

5.3. SabeeApp stellt sicher, dass ihre Beschäftigten und sonstigen befugten Personen, die personenbezogene Daten verarbeiten, angemessenen Vertraulichkeitsverpflichtungen unterliegen.

5.4. SabeeApp trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten.

5.5. Bei der Erbringung ihrer Dienstleistungen wendet SabeeApp insbesondere die folgenden Sicherheitsmaßnahmen an:

• Rollenbasierte Zugriffskontrolle und Berechtigungsverwaltung;
• Beschränkung des Zugriffs auf personenbezogene Daten auf das für die Erfüllung der Arbeitsaufgaben erforderliche Maß;
• Verschlüsselung von Daten bei der Übertragung mindestens mit dem Protokoll TLS 1.2;
• Verschlüsselung gespeicherter Daten;
• Sichere Speicherung von Passwörtern in gehashter Form;
• Datenbankreplikation und regelmäßige Datensicherungen;
• System- und Zugriffsprotokollierung;
• Regelmäßige Sicherheits- und Schwachstellenbewertungen;
• Interne Verfahren zum Umgang mit Sicherheitsvorfällen;
• Schulungen der Beschäftigten zu Datenschutz und Informationssicherheit.

5.6. Die Cloud-Infrastruktur von SabeeApp basiert auf Amazon Web Services (AWS) und nutzt die Rechenzentrumsinfrastruktur von AWS in Irland.

5.7. SabeeApp nutzt für den Betrieb ihrer Dienstleistungen eine mandantenfähige (Multi-Tenant-)Infrastruktur, die von mehreren Kunden gemeinsam genutzt wird. Die Kunden verfügen innerhalb des Systems über getrennte Benutzerkonten und Zugriffsberechtigungen.

5.8. SabeeApp unterstützt den Verantwortlichen bei der Beantwortung von Anträgen auf Wahrnehmung der Rechte betroffener Personen, soweit diese Anträge von SabeeApp verarbeitete personenbezogene Daten betreffen und eine solche Unterstützung technisch möglich ist.

5.9. Unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen unterstützt SabeeApp den Verantwortlichen bei der Erfüllung seiner Pflichten aus den Artikeln 32–36 DSGVO, insbesondere in Bezug auf die Sicherheit der Daten, Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und die Konsultation der Aufsichtsbehörden.

5.10. SabeeApp stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Vertrag festgelegten Pflichten zur Verfügung und ermöglicht Überprüfungen.

6. Inanspruchnahme von Unterauftragsverarbeitern

6.1. Der Verantwortliche erteilt SabeeApp eine allgemeine Genehmigung zur Inanspruchnahme von Unterauftragsverarbeitern, soweit dies für die Erbringung und den Betrieb der Dienstleistungen erforderlich ist.

6.2. Bei der Erbringung ihrer Dienstleistungen kann SabeeApp externe Dienstleister in Anspruch nehmen, insbesondere:

• Anbieter von Cloud-Infrastruktur und Hosting;
• Anbieter von E-Mail-Versanddiensten;
• Anbieter von SMS-Diensten;
• Anbieter technischer und Entwicklungsdienstleistungen;
• Anbieter von Dienstleistungen für Systembetrieb und Support;
• Zahlungsdienstleister.

6.3. SabeeApp stellt ihre aktuelle Liste der Unterauftragsverarbeiter in einem gesonderten Dokument zur Verfügung, in dem die Namen der Unterauftragsverarbeiter, die Art der von ihnen erbrachten Dienstleistungen und gegebenenfalls der Ort der Verarbeitung angegeben sind.

6.4. Vor der Inanspruchnahme eines neuen oder der Ersetzung eines bestehenden Unterauftragsverarbeiters informiert SabeeApp den Verantwortlichen und gibt ihm die Möglichkeit, innerhalb einer angemessenen Frist gegen den neuen Unterauftragsverarbeiter Einspruch zu erheben.

6.5. Erhebt der Verantwortliche begründeten Einspruch gegen die Inanspruchnahme eines neuen Unterauftragsverarbeiters, verhandeln die Parteien nach Treu und Glauben, um eine alternative Lösung zu finden. Kommt keine Einigung zwischen den Parteien zustande, ist der Verantwortliche berechtigt, den Hauptvertrag in Bezug auf die betroffene Dienstleistung nach Maßgabe der anwendbaren Vertragsbedingungen zu kündigen.

6.6. SabeeApp stellt sicher, dass sie ihren Unterauftragsverarbeitern im Wege eines schriftlichen Vertrags Datenschutzpflichten auferlegt, die mindestens das gleiche Schutzniveau bieten wie die in diesem Vertrag festgelegten Pflichten.

6.7. SabeeApp bleibt dafür verantwortlich, dass ihre Unterauftragsverarbeiter ihre Pflichten zur Datenverarbeitung gemäß der DSGVO erfüllen.

7. Umgang mit Verletzungen des Schutzes personenbezogener Daten

7.1. SabeeApp informiert den Verantwortlichen unverzüglich über jede ihr bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Auftrag des Verantwortlichen verarbeitete personenbezogene Daten betrifft.

7.2. SabeeApp ist bestrebt, diese Meldung spätestens 48 Stunden, nachdem ihr der Vorfall bekannt geworden ist, vorzunehmen.

7.3. Auf der Grundlage der verfügbaren Informationen enthält die Meldung:

• die Art der Verletzung des Schutzes personenbezogener Daten;
• die Kategorien und die ungefähre Zahl der betroffenen personenbezogenen Datensätze;
• die Kategorien und die ungefähre Zahl der betroffenen Personen, soweit feststellbar;
• die wahrscheinlichen Folgen des Vorfalls;
• die von SabeeApp ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung des Vorfalls und zur Abmilderung seiner Auswirkungen.

7.4. SabeeApp arbeitet mit dem Verantwortlichen bei der Untersuchung und Dokumentation des Vorfalls sowie bei der Abmilderung seiner Folgen zusammen.

7.5. Der Verantwortliche ist dafür verantwortlich, die Verletzung des Schutzes personenbezogener Daten der zuständigen Aufsichtsbehörde zu melden und gegebenenfalls die betroffenen Personen zu benachrichtigen. SabeeApp unterstützt den Verantwortlichen dabei, indem sie ihm die ihr zur Verfügung stehenden Informationen und technische Unterstützung bereitstellt.

8. Datensicherheit und technische Maßnahmen

8.1. SabeeApp trifft geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten mit dem Ziel, die Vertraulichkeit, Integrität und Verfügbarkeit der verarbeiteten Daten zu gewährleisten.

8.2. Die Cloud-Infrastruktur von SabeeApp wird von Amazon Web Services bereitgestellt. Das Rechenzentrum befindet sich innerhalb der Infrastruktur von AWS in Irland.

8.3. Zur Gewährleistung der Datensicherheit wendet SabeeApp unter anderem die folgenden Maßnahmen an:

• Verschlüsselte Datenübertragung;
• Verschlüsselung gespeicherter Daten;
• Zugriffs- und Berechtigungsverwaltung;
• Datenbankreplikation;
• Regelmäßige Datensicherungen;
• Protokollierung und Systemüberwachung;
• Sicherheitstests und Schwachstellenbewertungen;
• Eingeschränkter Zugriff der Beschäftigten;
• Vertraulichkeitsverpflichtungen und regelmäßige Sicherheitsschulungen.

8.4. SabeeApp überprüft ihre Datensicherheitsmaßnahmen regelmäßig und passt sie unter Berücksichtigung der technologischen Entwicklung und neu auftretender Risiken bei Bedarf an.

9. Audits und Inspektionen

9.1. Der Verantwortliche ist berechtigt zu überprüfen, ob SabeeApp ihre Pflichten als Auftragsverarbeiter aus diesem Vertrag und der DSGVO erfüllt.

9.2. SabeeApp stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung, einschließlich der verfügbaren Sicherheitsdokumentation, Zertifizierungen und Auditberichte.

9.3. Reicht die dem Verantwortlichen zur Verfügung gestellte Dokumentation zum Nachweis der Einhaltung nicht aus, ist der Verantwortliche berechtigt, nach vorheriger schriftlicher Abstimmung ein Audit einzuleiten.

9.4. Das Audit kann vom Verantwortlichen oder von einem vom Verantwortlichen beauftragten unabhängigen Prüfer durchgeführt werden, sofern dieser Prüfer über die erforderliche Fachkunde verfügt und Vertraulichkeitsverpflichtungen unterliegt.

9.5. Jedes Audit ist so durchzuführen, dass die Sicherheit der Systeme von SabeeApp, der Schutz der Daten anderer Kunden und der kontinuierliche Betrieb der Dienstleistungen nicht beeinträchtigt werden.

9.6. Die Kosten des Audits trägt grundsätzlich der Verantwortliche, es sei denn, das Audit deckt einen Verstoß von SabeeApp gegen ihre Pflichten aus diesem Vertrag auf und die Parteien vereinbaren etwas anderes.

10. Internationale Datenübermittlungen

10.1. SabeeApp kann für Zwecke der Datenverarbeitung Dienstleister mit Sitz außerhalb des Europäischen Wirtschaftsraums (EWR) in Anspruch nehmen oder den Zugriff auf personenbezogene Daten von außerhalb des EWR gestatten, soweit dies für den Betrieb der Dienstleistungen erforderlich ist.

10.2. Übermittlungen personenbezogener Daten in Länder außerhalb des EWR dürfen nur erfolgen, wenn die in Kapitel V DSGVO festgelegten Bedingungen erfüllt sind.

10.3. In solchen Fällen stellt SabeeApp sicher, dass für die Übermittlung personenbezogener Daten geeignete Garantien bestehen, zu denen insbesondere gehören können:

• ein von der Europäischen Kommission erlassener Angemessenheitsbeschluss;
• von der Europäischen Kommission genehmigte Standardvertragsklauseln (SCC);
• sonstige nach der DSGVO anerkannte geeignete Übermittlungsmechanismen.

10.4. Ist für eine Datenübermittlung die Verwendung von Standardvertragsklauseln erforderlich, wenden die Parteien das der Art der konkreten Übermittlung entsprechende Vertragsmodul an.

11. Rückgabe und Löschung personenbezogener Daten

11.1. Nach Beendigung des Hauptvertrags ist der Verantwortliche berechtigt, nach Maßgabe der anwendbaren Leistungsbedingungen auf die im SabeeApp-System gespeicherten Daten zuzugreifen und diese mithilfe der von SabeeApp bereitgestellten Exportfunktionen in gängigen Dateiformaten zu exportieren.

11.2. Nach Beendigung des Hauptvertrags verarbeitet SabeeApp die Daten des Verantwortlichen gemäß den anwendbaren Richtlinien zur Datenaufbewahrung und -löschung.

11.3. Wie in der Datenschutzerklärung von SabeeApp festgelegt, können die Daten des Abonnenten nach Beendigung des kostenpflichtigen Abonnements bis zu 90 Tage im System verbleiben oder auf Verlangen des Administrators bereits früher gelöscht werden.

11.4. Nach Ablauf der anwendbaren Aufbewahrungsfrist löscht oder anonymisiert SabeeApp die von ihr verarbeiteten personenbezogenen Daten unwiderruflich, sofern nicht nach dem anwendbaren Recht der Union oder der Mitgliedstaaten eine Verpflichtung zu ihrer Speicherung besteht.

11.5. Die Löschpflicht gilt auch für in Datensicherungen enthaltene Daten. Die Löschung von in Datensicherungen enthaltenen Daten erfolgt entsprechend dem Lebenszyklus der Datensicherungen und den technischen Wiederherstellungsprozessen, sofern in Datensicherungen enthaltene Daten im regulären Betrieb keiner weiteren aktiven Verarbeitung unterliegen.

11.6. SabeeApp kann bestimmte Daten nach Beendigung des Vertrags aufbewahren, soweit dies zur Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich ist. Diese Daten werden ausschließlich für die Zwecke und für die Dauer verarbeitet, die das anwendbare Recht vorschreibt.

12. Haftung, Laufzeit und Beendigung

12.1. Die Haftung der Parteien für Verstöße gegen ihre Pflichten aus diesem Vertrag richtet sich nach den anwendbaren Datenschutzvorschriften und den Bestimmungen des Hauptvertrags.

12.2. Die Parteien informieren einander unverzüglich über behördliche Verfahren, Anträge betroffener Personen oder sonstige Ansprüche im Zusammenhang mit den unter diesen Vertrag fallenden Verarbeitungstätigkeiten.

12.3. Dieser Vertrag wird mit Inkrafttreten des Hauptvertrags anwendbar und bleibt in Kraft, solange SabeeApp personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

12.4. Die Beendigung des Hauptvertrags lässt diejenigen Bestimmungen unberührt, die sich auf die Rückgabe, Löschung oder Aufbewahrung personenbezogener Daten oder auf die fortbestehenden Datenschutzpflichten der Parteien beziehen.

12.5. Dieser Vertrag kann durch eine von SabeeApp veröffentlichte neue Fassung oder gemäß den im Hauptvertrag festgelegten Verfahren zur Vertragsänderung geändert werden. SabeeApp teilt dem Verantwortlichen den Zeitpunkt des Wirksamwerdens von Änderungen nach Maßgabe der anwendbaren Vertragsbedingungen mit.

13. Anwendbares Recht und Schlussbestimmungen

13.1. Dieser Vertrag unterliegt ungarischem Recht und den unmittelbar anwendbaren Datenschutzvorschriften der Europäischen Union, insbesondere den Bestimmungen der DSGVO.

13.2. Für alle in diesem Vertrag nicht ausdrücklich geregelten Angelegenheiten gelten die DSGVO, die einschlägigen ungarischen Datenschutzvorschriften und die Bestimmungen des Hauptvertrags.

13.3. Im Falle eines Widerspruchs zwischen diesem Vertrag und den Datenverarbeitungsbestimmungen des Hauptvertrags haben in Bezug auf die Verarbeitung personenbezogener Daten die Bestimmungen dieses Vertrags Vorrang, es sei denn, der Hauptvertrag sieht ausdrücklich etwas anderes vor und diese Abweichung steht mit den anwendbaren Datenschutzvorschriften im Einklang.

13.4. Dieser Vertrag wird in veröffentlichter Form auf der Website von SabeeApp zur Verfügung gestellt. Er gilt als Teil des Hauptvertrags im Vertragsverhältnis zwischen dem Verantwortlichen und SabeeApp.

Angaben zum Auftragsverarbeiter

thePass Kft.
Sitz: H-1053 Budapest, Reáltanoda utca 5. 4. emelet.
Dienstleistung: SabeeApp – cloudbasiertes Hotelmanagementsystem
Website: https://www.sabeeapp.com