Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 DSGVO – zu Buchungsanfrage, Reservierung, verbindliche Buchung, Rechnungsstellung
Stand: Oktober2026
zwischen
Auftraggeber:
Dem jeweiligen Kunden von Gästehaus am Lindenweg, der die Funktion Buchungsanfrage und dessen Software nutzt.
und
Auftragnehmer:
Jürgen Erz
Gästehaus am Lindenweg
Lindenweg 5a
88709 Meersburg
Deutschland
wird folgender Auftragsverarbeitungsvertrag geschlossen.
1. Gegenstand und Dauer der Verarbeitung
Der Auftragnehmer stellt dem Auftraggeber die mit Buchungsanfragen, Reservierungen oder verbindlichen Buchungen an Gästehaus am Lindenweg, gestellten personenbezogene Daten und Rechnungsstellung zur Verfügung.
Im Rahmen der Nutzung verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers, soweit dies zur Bereitstellung, zum Betrieb, zur Wartung und zur technischen Unterstützung der Software erforderlich ist.
Die Verarbeitung beginnt mit der Buchungsanfrage (telefonisch oder digital) und endet mit Beendigung des zugrunde liegenden Nutzungsverhältnisses, soweit keine gesetzlichen Aufbewahrungspflichten oder andere rechtmäßige Gründe für eine weitere Speicherung bestehen.
2. Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt insbesondere zu folgenden Zwecken:
- Verwaltung von Gästen und deren Kontaktdaten
- Verwaltung von Buchungen, Reservierungen und Aufenthalten
- Zuordnung von Unterkünften und Zimmern
- Dokumentation von Gästewünschen und aufenthaltsbezogenen Kommentaren
- Erstellung und Verwaltung von Rechnungen und Abrechnungsinformationen
- Speicherung, Bereitstellung und Sicherung der Daten
- Technische Wartung, Fehlerbehebung und Support der Software
Die Verarbeitung erfolgt ausschließlich im Zusammenhang mit der vereinbarten Nutzung von Buchungsanfragen, Reservierungen oder verbindlichen Buchungen an Gästehaus am Lindenweg und nach Maßgabe der dokumentierten Weisungen des Auftraggebers.
3. Art der personenbezogenen Daten und Kategorien betroffener Personen
3.1 Verarbeitete Daten
Je nach Nutzung der Software können insbesondere folgende personenbezogene Daten verarbeitet werden:
- Vor- und Nachname
- Anschrift
- E-Mail-Adresse
- Telefonnummer
- Geburtsdatum
- Buchungs-, Anreise- und Abreisedaten
- Angaben zum Aufenthalt und zur Zimmer- oder Unterkunftszuordnung
- Individuelle Gästewünsche und Kommentare
- Rechnungs- und Abrechnungsdaten
- Sonstige Angaben, die der Auftraggeber im Rahmen der vorgesehenen Nutzung hinterlegt
Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO sind nicht Gegenstand der regulären Verarbeitung. Sofern solche Angaben in Freitextfeldern eingetragen werden, sind die datenschutzrechtlichen Voraussetzungen gesondert zu prüfen.
3.2 Betroffene Personen
Betroffene Personen sind insbesondere:
- Gäste und potenzielle Gäste der Ferienunterkünfte
- Mitreisende und weitere in Buchungen erfasste Personen
- Ansprechpartner der Kunden, soweit deren Daten in der Software verarbeitet werden
4. Rechte und Pflichten des Auftraggebers
Der Auftraggeber bleibt für die Rechtmäßigkeit der Verarbeitung, die Erfüllung seiner Informationspflichten gegenüber den betroffenen Personen sowie die Festlegung der Zwecke der Verarbeitung verantwortlich.
Er stellt insbesondere sicher, dass die bei Gästehaus am Lindenweg gespeicherten Daten rechtmäßig erhoben und verarbeitet werden und dass nur die für die jeweiligen Zwecke erforderlichen Daten hinterlegt werden.
Der Auftraggeber erteilt dem Auftragnehmer die erforderlichen dokumentierten Weisungen. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, können gesonderte Vereinbarungen erfordern.
5. Pflichten des Auftragnehmers
Der Auftragnehmer verpflichtet sich,
- personenbezogene Daten ausschließlich im Rahmen dieses Vertrags und der dokumentierten Weisungen des Auftraggebers zu verarbeiten;
- die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten und angemessen zu unterweisen;
- geeignete technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten umzusetzen;
- den Auftraggeber im Rahmen der gesetzlichen Verpflichtungen bei der Wahrnehmung von Betroffenenrechten zu unterstützen;
- den Auftraggeber bei der Einhaltung der gesetzlichen Pflichten zur Datensicherheit und bei Datenschutzverletzungen im erforderlichen Umfang zu unterstützen;
- den Auftraggeber zu informieren, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.
Der Auftragnehmer verarbeitet die Daten nicht zu eigenen, hiervon unabhängigen Zwecken, soweit hierfür keine eigenständige gesetzliche Grundlage besteht.
6. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau sicherzustellen.
Dazu gehören, soweit für die konkrete technische Umgebung umgesetzt und anwendbar, insbesondere:
- Schutz vor unbefugtem Zugang zu Systemen und Daten
- Beschränkung administrativer Zugriffsrechte auf berechtigte Personen
- Maßnahmen zur Vertraulichkeit, Integrität und Verfügbarkeit der Daten
- Schutz der Datenübertragung und der gespeicherten Daten
- Maßnahmen zur Sicherung und Wiederherstellung der Daten
- Maßnahmen zur Erkennung und Behandlung von Sicherheitsvorfällen
Die konkreten Maßnahmen werden in einer gesonderten Anlage „Technische und organisatorische Maßnahmen (TOM)“ dokumentiert und bei wesentlichen Änderungen der technischen Umgebung aktualisiert.
7. Einsatz von Unterauftragsverarbeitern
Der Auftraggeber genehmigt den Einsatz des nachfolgend genannten Unterauftragsverarbeiters, soweit dieser für die vereinbarten Leistungen personenbezogene Daten verarbeitet:
STRATO GmbH
Otto-Ostrowski-Straße 7
10249 Berlin, Deutschland
Leistung: Hosting der Webseite und der Software für Buchungsanfragen sowie die damit verbundene technische Speicherung der Daten.
Der Auftragnehmer stellt sicher, dass mit dem Unterauftragsverarbeiter die erforderlichen datenschutzrechtlichen Vereinbarungen bestehen.
Weitere Unterauftragsverarbeiter werden nur unter Beachtung der Voraussetzungen des Art. 28 DSGVO eingesetzt. Der Auftraggeber wird über beabsichtigte Änderungen im gesetzlich erforderlichen Umfang informiert und erhält die Möglichkeit, begründete Einwände zu erheben.
8. Weitergabe von Daten
Der Auftragnehmer gibt personenbezogene Gästedaten nicht eigenständig zu Werbe- oder sonstigen eigenen Zwecken an Dritte weiter.
Die für den Betrieb erforderliche technische Verarbeitung durch STRATO bleibt hiervon unberührt. Eine Offenlegung aufgrund gesetzlicher Verpflichtungen bleibt ebenfalls vorbehalten.
9. Unterstützung bei Betroffenenrechten und Datenschutzpflichten
Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren und der gesetzlichen Vorgaben bei der Beantwortung von Anfragen betroffener Personen, insbesondere zu Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung.
Der Auftragnehmer unterstützt den Auftraggeber ferner bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO, soweit dies unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen erforderlich ist.
10. Meldung von Datenschutzverletzungen
Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die im Auftrag verarbeiteten Daten betrifft.
Die Meldung enthält, soweit verfügbar, Informationen, die dem Auftraggeber die Bewertung des Vorfalls und die Erfüllung seiner gesetzlichen Melde- und Benachrichtigungspflichten ermöglichen.
11. Löschung und Rückgabe der Daten
Nach Beendigung des Nutzungsverhältnisses löscht oder gibt der Auftragnehmer die personenbezogenen Daten nach Wahl des Auftraggebers zurück, soweit keine gesetzlichen Aufbewahrungspflichten oder sonstigen rechtlichen Gründe einer Löschung entgegenstehen.
Gesetzlich aufzubewahrende Daten werden für andere Zwecke gesperrt bzw. entsprechend den gesetzlichen Vorgaben aufbewahrt und nach Ablauf der maßgeblichen Fristen gelöscht.
Details zu Fristen, Sicherungskopien und dem technischen Löschverfahren werden in der Leistungsbeschreibung oder einer ergänzenden Vereinbarung geregelt.
12. Nachweise und Kontrollen
Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.
Kontrollen oder Audits können nach angemessener vorheriger Ankündigung, während üblicher Geschäftszeiten und unter Wahrung berechtigter Vertraulichkeits- und Sicherheitsinteressen durchgeführt werden. Die Parteien stimmen den Umfang und die Durchführung der Kontrolle angemessen miteinander ab.
13. Schlussbestimmungen
Änderungen und Ergänzungen dieses Vertrags bedürfen einer dokumentierten Vereinbarung in Textform oder eines anderen rechtlich zulässigen elektronischen Formats.
Sollten einzelne Bestimmungen unwirksam sein, bleiben die übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Regelungen.
Es gelten die gesetzlichen Bestimmungen der Datenschutz-Grundverordnung und des jeweils anwendbaren Datenschutzrechts.
Vereinbarung zwischen dem Auftraggeber und dem Auftragnehmer
Der Vertrag wird in Verbindung mit dem Nutzungsverhältnis zu Buchungsanfrage (telefonisch oder digital) bei Gästehaus am Lindenweg geschlossen und ist von beiden Parteien in einem geeigneten elektronischen Format oder schriftlich zu dokumentieren.
