Datum der letzten Aktualisierung: 17.04.2022

Auftragsverarbeitungsvertrag Verantwortlicher (Kunde) – Auftragsverarbeiter (PYNBOOKING)
Dieser Anhang legt die spezifischen Regeln für die Verarbeitung personenbezogener Daten fest, die vom Auftraggeber als Verantwortlicher an die S.C. PYNBOOKING NET SRL als Auftragsverarbeiter gemäß der Verordnung (EU) 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr (im Folgenden ”DSGVO”) sowie jeder nationalen Folgegesetzgebung im Bereich des Schutzes personenbezogener Daten übermittelt werden.

Art 1. Begriffe

Im Rahmen dieses Anhangs werden die verwendeten Begriffe gemäß der DSGVO ausgelegt, und gegebenenfalls haben die verwendeten Begriffe die in Art. 4 der DSGVO festgelegten Definitionen.

Art 2. Gegenstand der Verarbeitung

Gegenstand der Verarbeitung personenbezogener Daten ist die Verarbeitung durch den Auftragsverarbeiter der vom Verantwortlichen übermittelten personenbezogenen Daten zum Zweck der Erbringung der im PYNBOOKING-Hauptdienstleistungsvertrag festgelegten Dienstleistungen.

Art 3. Erhobene Daten

Die vom Verantwortlichen bereitgestellten und auf Grundlage dieses Vertrags verarbeiteten personenbezogenen Daten sind:

Personenbezogene Daten der Gäste (Kunden) des Verantwortlichen, die für Vertragsabschluss, Rechnungsstellung, gesetzliche Pflichten des Verantwortlichen oder andere vom Verantwortlichen identifizierte Rechtsgrundlagen erforderlich sind, direkt oder indirekt erhoben und über die PYNBOOKING-Dienste verarbeitet werden, wie Name, Vorname, Identifikationsdaten und alle weiteren für die oben genannten Zwecke erforderlichen personenbezogenen Daten.

Verkehrsdaten, die auch technische Informationen (z.B. IP-Adresse) umfassen, die als personenbezogene Daten der Besucher der Webseiten oder Anwendungen des Verantwortlichen gelten, die über die PYNBOOKING-Dienste erstellt werden, sofern zutreffend.

Kartendaten der Gäste, nur wenn diese Daten von den Gästen des Verantwortlichen eingegeben werden, ausschließlich unter den von der Buchungsplattform, dem integrierten Zahlungsabwickler und/oder der Bank festgelegten Bedingungen.

Name, Vorname, E-Mail-Adresse, Telefonnummer und andere personenbezogene Daten der Mitarbeiter des Verantwortlichen – ausschließlich vom Verantwortlichen festgelegt – die für den Zugang zu bestimmten PYNBOOKING-Diensten oder zur Integration in die von den PYNBOOKING-Diensten verarbeiteten Informationen verwendet werden (z.B. Rechnungen usw.)

Art.4 Kategorien betroffener Personen

Die Kategorien betroffener Personen sind:
- Gäste (Kunden) des Verantwortlichen
- Besucher der Websites des Verantwortlichen
- Mitarbeiter des Verantwortlichen

Art. 5. Spezifische Anweisungen

Auf Grundlage dieses Vertrags erteilt der Verantwortliche dem Auftragsverarbeiter folgende spezifische Anweisungen:

Die in Artikel 3 genannten personenbezogenen Daten für den in Art. 7 vorgesehenen Zweck auf folgende Weise zu verarbeiten: vom Verantwortlichen direkt eingegebene Daten; vom Verantwortlichen von anderen Dienstleistern durch deren Integration (über API) mit den PYNBOOKING-Diensten eingegebene Daten (z.B. Import von Buchungen aus anderen Buchungssystemen, Online-Zahlungsdienste); direkt oder indirekt vom Auftragsverarbeiter über die PYNBOOKING-Dienste im Namen des Verantwortlichen erhobene Daten (z.B. Booking Engine, GuestApp oder jeder direkt den Gästen des Kunden zugängliche Dienst).

Die verarbeiteten personenbezogenen Daten an andere Auftragsverarbeiter des Verantwortlichen zu übermitteln, durch Auswahl der zu übermittelnden Datenkategorien und Bereitstellung der Zugangsdaten (falls zutreffend) für die Datenübermittlung an jene Dienstleister, bei denen der Verantwortliche ein Konto hat.

Nachrichten per E-Mail oder SMS im Namen des Verantwortlichen zu versenden, für den E-Mail- oder SMS-Nachrichtenversanddienst (sofern dieser Dienst vom Verantwortlichen genutzt wird);

Kartendaten im Konto des Verantwortlichen anzuzeigen, nur wenn diese Daten von den Gästen des Verantwortlichen eingegeben werden, ausschließlich unter den von der Buchungsplattform, dem integrierten Zahlungsabwickler und/oder der Bank festgelegten Bedingungen;

Art. 6. Dauer der Verarbeitung

Die Dauer der Verarbeitung personenbezogener Daten entspricht der Laufzeit des Hauptdienstleistungsvertrags.

Art. 7 Art und Zweck der Verarbeitung

Art und Zweck der Verarbeitung werden vom Verantwortlichen auf Grundlage des Hauptvertrags festgelegt, nämlich die Erbringung der PYNBOOKING-Dienste, abhängig vom erworbenen Dienstleistungspaket.

Art. 8 Unterauftragsverarbeiter

Wenn die Verarbeitung der Daten des Verantwortlichen oder bestimmte Teile der Verarbeitung vom Auftragsverarbeiter über andere Personen, sogenannte Unterauftragsverarbeiter, erfolgen, müssen folgende Grundsätze eingehalten werden:

8.1. Auf Grundlage dieses Artikels ermächtigt der Verantwortliche den Auftragsverarbeiter, seine Daten durch folgende Unterauftragsverarbeiter für folgende Tätigkeiten verarbeiten zu lassen:
- Amazon (Irland/USA) - für Hosting, E-Mail-Versand, SMS
- DataTrans (Schweiz) – für den Kartendaten-Hosting-Dienst
8.2. Für zukünftige Unterauftragsverarbeiter erhält der Auftragsverarbeiter eine allgemeine Genehmigung, mit jedem anderen Anbieter aus der EU, dem EWR oder einem Land mit angemessenem Schutzniveau, das durch Beschluss der Europäischen Kommission anerkannt ist, Unteraufträge zu vergeben, der für bestimmte Teile der Datenverarbeitung gemäß diesem Vertrag erforderlich ist und ein angemessenes Sicherheitsniveau bietet, mindestens auf dem Niveau dieses Vertrags. Diese Genehmigung umfasst die Pflicht, den Verantwortlichen über das Konto auf der Website des Auftragsverarbeiters oder per E-Mail zu informieren. Der Verantwortliche hat die Möglichkeit, innerhalb von 2 Werktagen Einwände zu erheben und den Vertrag gemäß Art. 10 der Allgemeinen Geschäftsbedingungen zu kündigen.

Art. 9. Rechte und Pflichten des Verantwortlichen

Das Recht, vom Auftragsverarbeiter Informationen zu erhalten oder durch einen beauftragten Prüfer zu überprüfen, ob der Auftragsverarbeiter angemessene technische und organisatorische Maßnahmen hat und anwendet, damit die Verarbeitung den Anforderungen der DSGVO entspricht; die Überprüfung erfolgt auf Grundlage einer schriftlichen Vorankündigung, die mindestens 14 Werktage vor der Durchführung der Überprüfung übermittelt wird, nach Deckung der vom Auftragsverarbeiter geschätzten Kosten;

Das Recht, Unterstützung vom Auftragsverarbeiter zu erhalten, insbesondere zur Erfüllung seiner Pflicht, auf Anfragen betroffener Personen bezüglich der Ausübung ihrer DSGVO-Rechte zu reagieren, es sei denn, die Daten sind direkt in der dem Verantwortlichen zugänglichen PYNBOOKING-Oberfläche verfügbar;

Das Recht, Einwände gegen andere Unterauftragsverarbeiter gemäß Art. 8.2 zu erheben;

Die Pflicht, seine DSGVO-Verpflichtungen als Verantwortlicher in Bezug auf die vom Auftragsverarbeiter in seinem Auftrag erhobenen oder verarbeiteten personenbezogenen Daten einzuhalten;

Die Pflicht, die betroffenen Personen gemäß der DSGVO zu informieren, einschließlich der Information über die Verarbeitung der Daten durch den Auftragsverarbeiter auf Grundlage dieses Vertrags oder über seine Dienste (insbesondere im Fall der Booking Engine, GuestApp oder jedes direkt den Gästen des Kunden zugänglichen Dienstes);

Die Pflicht, ausschließlich für die Festlegung der Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten, die Gegenstand dieses Vertrags sind, verantwortlich zu sein;

Die Pflicht, angemessene technische und organisatorische Maßnahmen gemäß der DSGVO umzusetzen, einschließlich der Sicherung der Datenübertragung von betroffenen Personen oder anderen Dienstleistern an den Auftragsverarbeiter;

Der Verantwortliche versteht, dass nach der Löschung der Daten nach Beendigung der Dienstleistungserbringung durch den Auftragsverarbeiter gemäß den DSGVO-Verpflichtungen und Art. 10 dieses Vertrags die Daten nicht wiederhergestellt werden können und es in der alleinigen Verantwortung des Verantwortlichen liegt, sicherzustellen, dass er eine vollständige Kopie davon erstellt hat.

In allen Situationen, in denen der Verantwortliche eine Pflicht erfüllen muss, wie z.B. die Information der betroffenen Person über eine Verletzung des Schutzes personenbezogener Daten, kann der Auftragsverarbeiter nicht für Untätigkeiten des Verantwortlichen im Rahmen dieser Pflicht verantwortlich gemacht werden.

Art. 10. Rechte und Pflichten des Auftragsverarbeiters:

Die Pflicht, den Verantwortlichen innerhalb von maximal 10 Tagen zu informieren, wenn nach Ansicht des Auftragsverarbeiters eine Anweisung gegen die DSGVO und/oder andere Rechtsvorschriften zur Verarbeitung personenbezogener Daten verstößt;

Die Pflicht, den Verantwortlichen unverzüglich über eine Verletzung der Sicherheit personenbezogener Daten des Verantwortlichen während der vom Auftragsverarbeiter durchgeführten Verarbeitung zu informieren;

Die Pflicht, den Verantwortlichen mit allen erforderlichen Informationen für die Meldung, falls erforderlich, an die zuständige Behörde bei einer Verletzung der Datensicherheit zu unterstützen, ohne sich jedoch an die Stelle des Verantwortlichen bei dessen Meldepflicht zu setzen;

Die Pflicht, den Verantwortlichen bei der Einhaltung der in den Artikeln 32-36 der DSGVO vorgesehenen Pflichten zu unterstützen, unter Deckung der zusätzlichen Kosten des Auftragsverarbeiters in diesem Zusammenhang;

Die Pflicht, den Verantwortlichen bei der Bearbeitung von Anfragen betroffener Personen zu unterstützen oder dem Verantwortlichen jede von betroffenen Personen erhaltene Anfrage bezüglich der vom Auftragsverarbeiter erhobenen und verarbeiteten personenbezogenen Daten innerhalb von maximal 5 Kalendertagen nach deren Eingang weiterzuleiten. Diese Unterstützung gilt nicht, wenn der Verantwortliche bereits in den vom Auftragsverarbeiter bereitgestellten technischen Instrumenten die Möglichkeit hat, die Anfrage der betroffenen Person direkt zu bearbeiten (z.B. Auskunftsrecht – wo der Verantwortliche bereits alle Informationen darüber hat, welche Daten erhoben werden);

Die Pflicht, keine personenbezogenen Daten und/oder vertraulichen Informationen, die personenbezogene Daten sein können, weiterzugeben, von denen er während der Vertragsausführung Kenntnis erlangt hat;

Die Pflicht, die Schulung des eigenen zur Verarbeitung personenbezogener Daten autorisierten Personals hinsichtlich der Vertraulichkeit dieser Daten sicherzustellen;

Die Pflicht, vertragliche Vertraulichkeitsverpflichtungen gegenüber Mitarbeitern und Unterauftragsverarbeitern aufzunehmen;

Das Recht, bestimmte personenbezogene Daten auf Anfrage einer Behörde, öffentlichen Einrichtung oder eines Gerichts oder eines anderen gesetzlich autorisierten Dritten offenzulegen, kraft einer gesetzlichen Pflicht oder einer anderen gesetzlich vorgesehenen Bedingung.

Das Recht, Unterauftragsverarbeiter gemäß Art. 8 zu beauftragen oder wenn er die Genehmigung des Verantwortlichen erhalten hat;

Das Recht auf Deckung der durch die Unterstützung des Verantwortlichen in den von der DSGVO vorgesehenen Situationen gemäß Art. 9 entstehenden Kosten, wenn diese die monatlichen Kosten der vom Auftragsverarbeiter erbrachten Dienstleistungen übersteigen.

Das Recht, anonymisierte statistische Informationen aus den im Rahmen dieses Vertrags oder seiner gesamten Tätigkeit erbrachten Aktivitäten zu verwenden.

Die Pflicht, alle im Rahmen dieses Vertrags als Auftragsverarbeiter erhobenen Daten innerhalb von maximal 15 Tagen nach Beendigung des Vertrags zwischen den beiden Parteien zu löschen, es sei denn, der Verantwortliche setzt schriftlich eine kürzere Frist fest;

Der Auftragsverarbeiter darf keine Zwecke oder Mittel der Verarbeitung personenbezogener Daten festlegen, da diese ausschließlich vom Verantwortlichen festgelegt werden.

Art.11 Sicherheit der Verarbeitung

11.1 Der Auftragsverarbeiter muss angemessene technische und organisatorische Maßnahmen treffen, um dem Risiko angemessene Sicherheitsmaßnahmen gemäß den bewährten Branchenpraktiken zu gewährleisten. Bei der Festlegung des angemessenen Sicherheitsniveaus muss der Auftragsverarbeiter den aktuellen Stand der Technik, die Implementierungskosten und die Art, den Umfang, den Kontext und die Zwecke der Verarbeitung sowie das Risiko unterschiedlicher Eintrittswahrscheinlichkeit und Schwere für die Rechte und Freiheiten natürlicher Personen berücksichtigen, ebenso wie die Risiken, die sich aus der Verarbeitung ergeben, insbesondere in Bezug auf solche, die versehentlich oder unrechtmäßig zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von übermittelten, gespeicherten oder anderweitig verarbeiteten personenbezogenen Daten oder zum unbefugten Zugang zu diesen führen können.

Art.12 Haftungsbeschränkung

Der Verantwortliche erklärt sich damit einverstanden, den Auftragsverarbeiter von jeder Haftung für Schäden freizustellen, die sich ergeben könnten aus:
- Nichterfüllung des Vertrags aufgrund von Ereignissen, die jeglicher Verantwortung des Auftragsverarbeiters entzogen sind;
- Befolgung der Anweisungen des Verantwortlichen oder Nichtbefolgung der Anweisungen des Verantwortlichen, die zuvor durch eine Mitteilung über deren Rechtswidrigkeit gerechtfertigt wurde;
- Fehlen oder Mangelhaftigkeit der Einwilligung der betroffenen Personen oder Verwendung einer falschen Rechtsgrundlage durch den Verantwortlichen;
- Nichterfüllung des Vertrags aufgrund von Handlungen des Verantwortlichen.

Art.13 Haftungsabgrenzung

Der Verantwortliche und der Auftragsverarbeiter grenzen ihre Verantwortlichkeiten hinsichtlich der Gewährleistung des Schutzes personenbezogener Daten (z.B. Gewährleistung der Vertraulichkeit oder der Verarbeitungssicherheit) in Abhängigkeit vom tatsächlichen Zugang und der tatsächlichen Kontrolle über die Daten ab, sowohl aus vertraglicher als auch aus technischer Sicht.

Art.14 Inkrafttreten und Änderungen

Dieser Anhang tritt am 17. April 2022 in Kraft und ist gültig bis zu seiner Änderung durch PYNBOOKING und Benachrichtigung der Kunden. Die Nutzung des Kontos nach Benachrichtigung der Kunden bedeutet deren Zustimmung zu diesem Dokument.