Auftragsverarbeitungsvertrag (DPA)

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend «DPA» oder «Vereinbarung») konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der zwischen ihnen geschlossenen Vereinbarung über die Nutzung der SmoobuPMS-Add-on-Module (nachfolgend «Hauptvertrag») ergeben. Der DPA findet Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen Mitarbeiter der SmoobuPMS GmbH oder von SmoobuPMS beauftragte Unterauftragsverarbeiter personenbezogene Daten des Kunden verarbeiten.

§ 1 Gegenstand und Dauer

(1) Gegenstand und Dauer des Auftrags ergeben sich aus dem Hauptvertrag.

(2) Der Auftrag umfasst die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der SmoobuPMS-Add-on-Module. Die Verarbeitung erfolgt ausschließlich im Rahmen der Weisungen des Auftraggebers (Kunde).

§ 2 Konkretisierung des Auftragsinhalts

a) Art und Zweck der Verarbeitung

Verarbeitung personenbezogener Daten zur Bereitstellung der vertraglich vereinbarten Software-as-a-Service-Leistungen: Anbindung an den Smoobu-Kundenbereich, Synchronisation von Buchungs-, Preis- und Verfügbarkeitsdaten, Erstellung von Buchhaltungs-Exports, Versand von Kommunikations-Nachrichten an Gäste (WhatsApp, SMS, E-Mail), Erstellung digitaler Meldescheine, Betrieb der SEPA-Kautionsabwicklung.

b) Art der Daten

• Stammdaten des Auftraggebers (Firma, Adresse, Kontaktdaten der Ansprechpartner)
• Buchungsdaten aus dem Smoobu-Kundenbereich (Zeitraum, Objekt, Preis, Zahlungsart, Provisions-Höhe der Plattformen)
• Gastdaten (Name, Adresse, Ausweis-Nummer, Geburtsdatum, Nationalität — nur bei Meldeschein-Modul und im Rahmen des BMG)
• Bankverbindungen der Gäste (nur bei SEPA-Kautions-Modul, verschlüsselt gespeichert)
• Kommunikationsinhalte (E-Mail, SMS, WhatsApp — nur bei aktiven Kommunikations-Modulen)

c) Kategorien betroffener Personen

• Mitarbeiter und Vertreter des Auftraggebers
• Gäste der Ferienwohnungen des Auftraggebers
• Reinigungskräfte und externe Dienstleister des Auftraggebers

§ 3 Technische und organisatorische Maßnahmen (TOM)

(1) Der Auftragnehmer (SmoobuPMS) hat die Umsetzung der im Folgenden dargelegten erforderlichen technischen und organisatorischen Maßnahmen vor Auftragsbeginn dokumentiert und dem Auftraggeber zur Prüfung vorgelegt. Die vollständige TOM-Dokumentation wird auf Anfrage bereitgestellt.

(2) Auszug der Maßnahmen:

• Zutrittskontrolle: Rechenzentren in Frankfurt am Main mit 24/7-Sicherheitspersonal, Chipkartenzugang, biometrische Kontrolle, protokollierter Zutritt.
• Zugangskontrolle: Zwei-Faktor-Authentifizierung für alle produktiven Systeme, individuelle Nutzerkonten, keine Shared Accounts, Passwörter mit Mindestlänge 16 Zeichen und Rotation alle 90 Tage.
• Zugriffskontrolle: Rollenbasierte Zugriffsrechte nach dem Need-to-know-Prinzip. Zugriff auf produktive Datenbanken haben ausschließlich vier namentlich benannte Mitarbeiter.
• Weitergabekontrolle: Verschlüsselte Übertragung aller Daten (TLS 1.3), verschlüsselte Speicherung sensibler Daten (AES-256).
• Eingabekontrolle: Protokollierung aller Zugriffe auf produktive Systeme, Aufbewahrung der Logs für 12 Monate.
• Auftragskontrolle: Sorgfältige Auswahl der Unterauftragsverarbeiter, vertragliche Bindung nach Art. 28 DSGVO.
• Verfügbarkeitskontrolle: Redundante Infrastruktur mit Failover, tägliche Backups mit Aufbewahrung 30 Tage, DDoS-Schutz.
• Trennungskontrolle: Logische Trennung der Daten der einzelnen Kunden durch Mandantenprinzip.

§ 4 Berichtigung, Löschung und Sperrung von Daten

Der Auftragnehmer wird ausschließlich im Rahmen der Weisungen des Auftraggebers personenbezogene Daten berichtigen, löschen oder deren Verarbeitung einschränken. Der Auftragnehmer wird den Auftraggeber unverzüglich informieren, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Bestimmungen verstößt.

§ 5 Qualitätssicherung und sonstige Pflichten des Auftragnehmers

Der Auftragnehmer hat zusätzlich zur Einhaltung der Regelungen dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 33 DSGVO. Insbesondere: Benennung eines Datenschutz-Beauftragten, vertrauliche Behandlung durch verpflichtete Mitarbeiter, Umsetzung der TOM, Kooperation mit der Aufsichtsbehörde, unverzügliche Meldung von Datenschutz-Vorfällen.

§ 6 Unterauftragsverhältnisse

(1) Als Unterauftragsverarbeiter im Sinne dieser Vereinbarung sind derzeit tätig:

• Hetzner Online GmbH, Gunzenhausen, Deutschland — Betrieb der Server-Infrastruktur (Rechenzentrum Frankfurt am Main).
• Twilio Ireland Ltd., Dublin, Irland — Versand von SMS und WhatsApp-Business-Nachrichten (nur bei aktivem Kommunikations-Modul).
• Stripe Payments Europe Ltd., Dublin, Irland — Zahlungsabwicklung (SEPA, Kreditkarte).

(2) Der Auftraggeber erklärt sich mit dieser Beauftragung ausdrücklich einverstanden. Über Wechsel oder Ergänzungen im Kreis der Unterauftragsverarbeiter wird der Auftraggeber mit einer Frist von mindestens 30 Tagen informiert. Der Auftraggeber hat das Recht, dem Wechsel zu widersprechen.

§ 7 Kontrollrechte des Auftraggebers

Der Auftraggeber hat das Recht, sich vor Beginn der Verarbeitung und danach regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen sowie der in diesem Auftrag festgelegten Verpflichtungen zu überzeugen. Die Kontrolle kann durch Einsicht in die Zertifikate des Auftragnehmers oder — nach Absprache — durch eine Vor-Ort-Prüfung erfolgen. Der Auftragnehmer bemüht sich, dem Auftraggeber alle für die Kontrolle notwendigen Auskünfte zu geben.

§ 8 Mitteilung bei Verstößen des Auftragnehmers

Der Auftragnehmer teilt dem Auftraggeber unverzüglich Störungen, Verstöße durch den Auftragnehmer oder seine Mitarbeiter gegen datenschutzrechtliche Bestimmungen sowie den Verdacht auf Datenschutzverletzungen oder Unregelmäßigkeiten mit.

§ 9 Löschung und Rückgabe von Daten

Nach Beendigung der Auftragsverarbeitung sind auf Wunsch des Auftraggebers alle in seinem Auftrag verarbeiteten personenbezogenen Daten entweder zurückzugeben oder auf datenschutzgerechte Art und Weise zu löschen. Nachweise über die ordnungsgemäße Löschung sind auf Verlangen vorzulegen. Aufgrund gesetzlicher Aufbewahrungspflichten müssen bestimmte Daten (insbesondere Rechnungen) über die Vertragsdauer hinaus aufbewahrt werden.

§ 10 Schlussbestimmungen

Bei Widersprüchen zwischen dem Hauptvertrag und dieser Vereinbarung geht diese Vereinbarung vor. Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht. Es gilt deutsches Recht. Gerichtsstand ist München.

§ 11 Vertraulichkeitsverpflichtungen der Mitarbeiter

Alle Mitarbeiter der SmoobuPMS GmbH werden vor Aufnahme ihrer Tätigkeit ausdrücklich schriftlich auf die Einhaltung der datenschutzrechtlichen Bestimmungen sowie auf die spezifischen Vertraulichkeitspflichten im Umgang mit Kundendaten und Gastdaten der Auftraggeber verpflichtet. Diese Verpflichtung wirkt über das Ende der Beschäftigung hinaus fort. Ergänzend werden alle Mitarbeiter mindestens einmal jährlich zu aktuellen Themen des Datenschutzes und der IT-Sicherheit geschult. Die Schulungsteilnahme wird dokumentiert und ist für alle Mitarbeiter mit Zugriff auf produktive Systeme verpflichtend. Bei besonders sensiblen Rollen (Zugang zu Produktiv-Datenbanken, Behördenkommunikation) wird zusätzlich eine erweiterte Sicherheitsüberprüfung inkl. Führungszeugnis vorgenommen.

§ 12 Haftung des Auftragnehmers

Der Auftragnehmer haftet dem Auftraggeber für Schäden, die durch eine schuldhafte Verletzung der auf ihm ruhenden vertraglichen oder gesetzlichen Verpflichtungen entstanden sind, nach den allgemeinen gesetzlichen Vorschriften. Die Haftung ist nach oben auf den Betrag begrenzt, den der Auftraggeber in den zwölf Monaten vor dem schadenauslösenden Ereignis an den Auftragnehmer für die Nutzung der Module gezahlt hat, mindestens aber auf 50.000 Euro. Für Schäden, die auf Vorsatz oder grober Fahrlässigkeit beruhen sowie für Personenschäden gilt diese Haftungsbeschränkung nicht. Bei Verletzungen von Kardinalpflichten gilt die Haftung als unbegrenzt der Höhe nach für den vertragstypisch vorhersehbaren Schaden. Zwischen dem Auftraggeber und dem Auftragnehmer bestehende Regelungen aus dem Hauptvertrag zur Haftung finden ergänzend Anwendung.

§ 13 Meldung von Sicherheitsvorfällen

Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Auftraggeber ohne schuldhaftes Verzögern, spätestens jedoch binnen 24 Stunden nach Kenntnisnahme. Die Mitteilung erfolgt schriftlich an die vom Auftraggeber im Kundenbereich hinterlegte Adresse und enthält mindestens: Beschreibung der Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen, Kategorien und ungefähre Zahl der betroffenen Datensätze, Beschreibung der voraussichtlichen Folgen der Verletzung, Beschreibung der vom Auftragnehmer ergriffenen oder vorgeschlagenen Maßnahmen zur Behandlung der Verletzung. Der Auftragnehmer unterstützt den Auftraggeber bei der ihm nach Art. 33 und 34 DSGVO obliegenden Meldepflicht gegenüber der zuständigen Aufsichtsbehörde und den betroffenen Personen.

§ 13a Betroffenenrechte und Auskunftsersuchen

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen zur Wahrnehmung der in Kapitel III der DSGVO genannten Betroffenenrechte, insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser das Ersuchen unverzüglich an den Auftraggeber weiter. Der Auftragnehmer nimmt selbst keine Beantwortung vor. Zur Unterstützung stellt der Auftragnehmer im Kundenbereich einen «Export-Ihrer-Daten»-Assistenten bereit, mit dem der Auftraggeber alle im System gespeicherten Daten einer bestimmten Person in einem strukturierten, gängigen und maschinenlesbaren Format erhält. Dieser Assistent kann für die Erfüllung des Rechts auf Datenübertragbarkeit unmittelbar herangezogen werden.

§ 13b Prüfrechte des Auftraggebers

Der Auftraggeber ist berechtigt, sich in angemessenen Abständen und nach Voranmeldung von mindestens zehn Werktagen von der Einhaltung der vom Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen zu überzeugen. Die Prüfung kann in Form einer Vor-Ort-Prüfung in unseren Räumen in München oder in unseren Rechenzentren in Frankfurt am Main erfolgen, alternativ auch als Fernprüfung durch Einsicht in Zertifikate, Prüfberichte und Antworten auf einen Fragenkatalog. Der Auftragnehmer stellt die für die Prüfung erforderlichen Informationen zur Verfügung, soweit dabei nicht Geschäftsgeheimnisse anderer Kunden oder Sicherheitsinteressen dritter berührt werden. Bei berechtigten Prüf-Anlässen werden dem Auftraggeber die tatsächlichen Kosten des Prüfaufwands nicht in Rechnung gestellt; bei über die vertraglich vorgesehene Häufigkeit hinausgehenden Prüfungen kann der Auftragnehmer einen Kostenersatz für den zusätzlichen internen Aufwand verlangen. Der Auftraggeber ist berechtigt, an seiner Stelle einen zur Berufsverschwiegenheit verpflichteten externen Prüfer (Wirtschaftsprüfer, Rechtsanwalt, spezialisierten Datenschutz-Auditor) zu entsenden.

§ 14 Weisungsberechtigte und Weisungsempfänger

Weisungsberechtigt seitens des Auftraggebers ist der Geschäftsführer bzw. eine von ihm bevollmächtigte Person. Weisungsempfänger seitens des Auftragnehmers ist der jeweilige Verantwortliche für den Bereich, den die Weisung betrifft. Regelmäßige Weisungen werden durch die vom Auftraggeber getroffenen Konfigurationseinstellungen im Kundenbereich erteilt. Individuelle Einzelweisungen erfolgen schriftlich per E-Mail an die vereinbarten Kontaktadressen und werden vom Empfänger unverzüglich bestätigt oder — im Fall einer datenschutzrechtlichen Bedenklichkeit — unter Angabe der Bedenken abgelehnt. Der Auftragnehmer führt ein Weisungsprotokoll, das jederzeit vom Auftraggeber eingesehen werden kann.

Stand: August 2026