AUFTRAGSVERARBEITUNGSVERTRAG (AVV/DPA)

1. Parteien

2. Gegenstand und Dauer (Art. 28 Abs. 3 DSGVO)

Der Verantwortliche beauftragt den Auftragsverarbeiter, personenbezogene Daten in seinem Auftrag mittels der Vezpa-Plattform zu verarbeiten. Die Verarbeitung hat die Dauer des Abonnementvertrags zwischen den Parteien und endet mit dessen Auflösung, vorbehaltlich der Bestimmungen in §14.

3. Art, Zwecke und Kategorien der verarbeiteten Daten

3.1 Zwecke

• Verwaltung von Buchungen, Aufenthalten und Check-in/Check-out
• Erfüllung der gesetzlichen Pflichten des Verantwortlichen gegenüber den Behörden (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Übermittlung der Buchungsdaten an die vom Betrieb aktivierten OTA-Kanäle und Channel Manager
• Versand von Mitteilungen an den Gast (Bestätigungen, Pre-Check-in, Zahlungen)
• Verarbeitung von Zahlungen über Booking Engine oder Stripe-Link
• Erstellung von Berichten und Statistiken für den Verantwortlichen

3.2 Kategorien von Betroffenen

• Gäste der Beherbergungsbetriebe und deren Begleiter
• Personen, die im Namen anderer buchen
• Notfallkontakte, die gegebenenfalls vom Gast angegeben werden

3.3 Kategorien der verarbeiteten personenbezogenen Daten

• Identifikations- und Stammdaten (Vorname, Nachname, Geburtsdatum und -ort, Staatsangehörigkeit, Geschlecht)
• Ausweisdokumente (Art, Nummer, Ausstellungsdatum, ausstellende Behörde, gescanntes oder fotografiertes Bild)
• Aus dem Dokument per automatischem OCR extrahierte Textdaten
• Kontaktdaten (E-Mail, Telefon, Adresse)
• Buchungs- und Aufenthaltsdaten
• Zahlungsdaten (verwaltet von Stripe, nicht bei Vezpa gespeichert)

4. Weisungen des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO)

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen. Die allgemeinen Weisungen sind im vorliegenden AVV, in der Datenschutzerklärung, in der DSGVO-Information und in den Nutzungsbedingungen enthalten. Spezifische Weisungen können vom Verantwortlichen erteilt werden durch:

• Konfigurationen im eigenen Account (Aktivierung/Deaktivierung von Behörden-Konnektoren, OTA, Aufbewahrungsfristen)
• Anbindung externer, vom Verantwortlichen gewählter Dienste, etwa der Sprachplattform, die das Telefon der Unterkunft beantwortet (z. B. Retell, Vapi, ElevenLabs): Der Auftragsverarbeiter übermittelt dem Dienst nur dann, wenn dieser ihn mit dem vom Verantwortlichen erzeugten Schlüssel abfragt, die für die Antwort erforderlichen Daten (Verfügbarkeit, Preise, Angaben zur Unterkunft und, nach Prüfung von Telefonnummer und Nachname, Aufenthaltsdaten und Beträge der Buchung des Anrufers) und erhält von ihm Nachrichten und Zusammenfassungen der Anrufe. Der externe Dienst wird vom Verantwortlichen ausgewählt, beauftragt und bezahlt: Er ist dessen Auftragsverarbeiter, kein Unterauftragsverarbeiter des Auftragsverarbeiters, und der Verantwortliche ist für ihn verantwortlich (Vertrag nach Art. 28 DSGVO, Information der betroffenen Personen, etwaige Aufzeichnung der Anrufe, Übermittlungen außerhalb der EU).
• Schriftliche Mitteilung an info@vezpa.it oder per PEC an lavezpa@pec.it

Sollte der Auftragsverarbeiter der Auffassung sein, dass eine Weisung gegen die DSGVO oder andere anwendbare Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich.

5. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 lit. b-h DSGVO)

Der Auftragsverarbeiter verpflichtet sich:

1. Vertraulichkeit: Die Daten vertraulich zu behandeln und sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind;
2. Sicherheit: Die in Anhang B genannten technischen und organisatorischen Maßnahmen zu ergreifen, die dem Risiko angemessen sind;
3. Unterauftragsverarbeiter: Die Bedingungen in §6 einzuhalten;
4. Unterstützung des Verantwortlichen: Den Verantwortlichen bei der Erfüllung seiner Pflichten zu unterstützen, insbesondere:
   • Beantwortung der Anfragen der Betroffenen (Art. 15-22 DSGVO) innerhalb von Fristen, die es dem Verantwortlichen ermöglichen, innerhalb der gesetzlichen 30 Tage zu antworten;
   • Meldung von Datenschutzverletzungen an den Verantwortlichen innerhalb von 48 Stunden nach Entdeckung (§7);
   • Unterstützung bei DSFA (Art. 35) und vorherigen Konsultationen (Art. 36);
   • Nachweis der Konformität durch Dokumentation und, auf Anfrage, durch Audit (§9).
5. Rückgabe / Löschung der Daten am Ende, wie in §14 vorgesehen;
6. Information: Dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die erforderlich sind, um die Konformität mit dem vorliegenden AVV nachzuweisen.

6. Unterauftragsverarbeiter (Art. 28 Abs. 2 und Abs. 4 DSGVO)

6.1 Allgemeine Genehmigung

Der Verantwortliche ermächtigt den Auftragsverarbeiter, die unter vezpa.it/subprocessors aufgeführten Unterauftragsverarbeiter sowie diejenigen, die nachfolgend nach dem hier beschriebenen Verfahren hinzugefügt werden, zu beauftragen.

6.2 Vorankündigung von Änderungen

Der Auftragsverarbeiter teilt dem Verantwortlichen die Absicht mit, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, mit einer Vorankündigung von mindestens 30 Tagen, per E-Mail an die registrierte Adresse und/oder Mitteilung im Dashboard. Innerhalb dieser Frist kann der Verantwortliche begründeten Widerspruch einlegen. Im Falle eines nicht lösbaren Widerspruchs kann jede Partei vom Vertrag mit Einstellung der betreffenden Verarbeitung zurücktreten.

6.3 Pflichten gegenüber den Unterauftragsverarbeitern

Der Auftragsverarbeiter erlegt den Unterauftragsverarbeitern schriftlich Datenschutzpflichten auf, die denen des vorliegenden Vertrags entsprechen, und haftet gegenüber dem Verantwortlichen für das Handeln der Unterauftragsverarbeiter.

7. Datenschutzverletzung (Art. 33 DSGVO)

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die im Auftrag des Verantwortlichen verarbeitete Daten betrifft, wird der Auftragsverarbeiter:

• Den Verantwortlichen unverzüglich und auf jeden Fall innerhalb von 48 Stunden ab Entdeckung benachrichtigen, sofern keine dokumentierte höhere Gewalt vorliegt;
• Die Informationen gemäß Art. 33 Abs. 3 DSGVO bereitstellen (Art, Kategorien und ungefähre Anzahl der Betroffenen und der Daten, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen);
• Mit dem Verantwortlichen bei der Mitteilung an die Betroffenen und an die Aufsichtsbehörde zusammenarbeiten;
• Den Vorfall und die ergriffenen Maßnahmen dokumentieren.

Die Meldung an den Verantwortlichen erfolgt per E-Mail an die registrierte Adresse und per PEC, sofern verfügbar. Der Verantwortliche bleibt für die externen Meldungen (Datenschutzbehörde, Betroffene) gemäß Art. 33-34 DSGVO verantwortlich.

8. Rechte der Betroffenen (Art. 28 Abs. 3 lit. e DSGVO)

Wenn sich eine betroffene Person direkt an den Auftragsverarbeiter wendet, um Rechte in Bezug auf im Auftrag des Verantwortlichen verarbeitete Daten auszuüben, leitet der Auftragsverarbeiter die Anfrage unverzüglich an den Verantwortlichen weiter und antwortet nicht im Namen des Verantwortlichen, sofern keine anderslautenden Weisungen vorliegen.

Der Auftragsverarbeiter stellt dem Verantwortlichen im Dashboard und über API Funktionen zur Verfügung für:

• Export der Daten einer betroffenen Person (Auskunft und Datenübertragbarkeit)
• Berichtigung
• Löschung oder Anonymisierung
• Einschränkung der Verarbeitung

Bei Anfragen, die einen manuellen technischen Eingriff erfordern, antwortet der Auftragsverarbeiter innerhalb von 10 Arbeitstagen nach Erhalt der Weisung des Verantwortlichen.

9. Audit (Art. 28 Abs. 3 lit. h DSGVO)

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage Informationen und Dokumentation zur Verfügung, die die Konformität mit dem vorliegenden AVV nachweisen, darunter:

• Zusammenfassung der implementierten Sicherheitsmaßnahmen
• Liste der Unterauftragsverarbeiter mit Sitzen und Übermittlungsgrundlagen
• Verzeichnis der Verarbeitungstätigkeiten (relevante Auszüge)
• Zertifizierungen der Unterauftragsverarbeiter (ISO 27001, SOC 2, DPF), sofern verfügbar

9.1 Modalitäten und Grenzen des Audits

• Standardmodus — dokumentenbasierte Fernprüfung: Der Verantwortliche kann mit einer schriftlichen Vorankündigung von mindestens 30 Tagen und höchstens einmal jährlich die Bereitstellung von Sicherheitsdokumentation, Zertifizierungen, Verzeichnissen und Antworten auf Fragebögen verlangen. Dies ist das Standardverfahren.
• Vor-Ort-Audit am Sitz von Vezpa: ausschließlich zulässig bei festgestelltem Vertragsverstoß oder bestätigter, dem Auftragsverarbeiter zuzurechnender Datenschutzverletzung, mit einer schriftlichen Vorankündigung von mindestens 30 Tagen.
• Dauer: Jedes Audit darf 2 Arbeitstage nicht überschreiten; es findet während der Arbeitszeit und ohne Störung des laufenden Betriebs statt.
• Externe Prüfer: nur zugelassen, wenn sie gegenüber Vezpa durch eine Geheimhaltungsvereinbarung (NDA) gebunden sind und keinen Interessenkonflikt haben (keine direkten Wettbewerber des Auftragsverarbeiters).
• Kosten: vollständig vom Verantwortlichen zu tragen (einschließlich angemessener interner Kosten des Auftragsverarbeiters), es sei denn, das Audit stellt einen dem Auftragsverarbeiter zuzurechnenden Verstoß fest; in diesem Fall trägt dieser die Kosten.
• Vertraulichkeit: Im Audit erlangte Informationen unterliegen einer Vertraulichkeitspflicht, die über die Vertragsdauer hinaus für mindestens 5 Jahre gilt.

10. Übermittlungen außerhalb der EU (Kapitel V DSGVO)

Die Liste der Unterauftragsverarbeiter mit Angabe des Sitzes und der Rechtsgrundlage der Übermittlung ist veröffentlicht unter vezpa.it/subprocessors. Für nicht durch einen Angemessenheitsbeschluss abgedeckte Übermittlungen wendet der Auftragsverarbeiter an:

• Standardvertragsklauseln 2021/914 und erforderlichenfalls zusätzliche Maßnahmen (dokumentiertes Transfer Impact Assessment);
• Oder andere geeignete Garantien gemäß Art. 46 DSGVO.

11. Rolle des Verantwortlichen

Der Verantwortliche erklärt und garantiert:

• Den Betroffenen die gemäß Art. 13-14 DSGVO vorgesehenen Informationen erteilt zu haben;
• Die für die Verarbeitung erforderlichen Rechtsgrundlagen (Einwilligung, Vertrag, rechtliche Verpflichtung) eingeholt zu haben;
• Dem Auftragsverarbeiter rechtmäßige Weisungen zu erteilen;
• Die ordnungsgemäße Aufbewahrung und Löschung der Daten nach dem Ausscheiden aus der Vezpa-Plattform zu gewährleisten.

12. Vertraulichkeit

Jede Partei behandelt alle Informationen, die sie von der anderen Partei in Ausführung des vorliegenden AVV erhält, streng vertraulich, und zwar für die Dauer des Vertrags und für 5 Jahre nach dessen Beendigung.

13. Haftung

Die Haftung jeder Partei gemäß Art. 82 DSGVO gegenüber den Betroffenen bleibt gesetzlich geregelt. In den Beziehungen zwischen den Parteien ist die vertragliche Haftungsregelung in den Nutzungsbedingungen (§9-10) festgelegt, unbeschadet der zwingenden Aufteilung gemäß Art. 82 DSGVO.

14. Beendigung der Verarbeitung

Bei Beendigung des Vertrags aus beliebigem Grund wird der Auftragsverarbeiter:

1. Dem Verantwortlichen für 30 Tage nach Beendigung Tools zum Export seiner Daten in strukturiertem Format (CSV/JSON) zur Verfügung stellen;
2. Nach Ablauf der 30 Tage die im Auftrag des Verantwortlichen verarbeiteten Daten in den Produktionssystemen löschen oder anonymisieren;
3. Die Daten in den Backups im Rahmen des nächsten Rotationszyklus löschen (typischerweise innerhalb von 90 Tagen);
4. Die Daten, die Vezpa gesetzlich aufbewahren muss (typischerweise: Rechnungsdaten und Sicherheits-Logs), nur für die von den anwendbaren Vorschriften auferlegten Zeiträume aufbewahren und dabei angemessene Sicherheitsmaßnahmen aufrechterhalten.

15. Änderungen

Der Auftragsverarbeiter kann den vorliegenden AVV ändern, um rechtliche Entwicklungen (z. B. neue SCC, Maßnahmen der Datenschutzbehörde) oder organisatorische Änderungen zu berücksichtigen. Wesentliche Änderungen werden dem Verantwortlichen mit mindestens 30 Tagen Vorankündigung mitgeteilt. Stimmt der Verantwortliche nicht zu, kann er ohne Vertragsstrafe für den nicht genutzten Teil des Abonnements zurücktreten.

16. Anwendbares Recht

Der vorliegende AVV unterliegt dem italienischen Recht. Für Streitigkeiten gilt §16 der Nutzungsbedingungen. Für Nutzer in Österreich gelten ergänzend das DSG und das TKG 2021. Betroffene und Verantwortliche in Österreich können sich an die Österreichische Datenschutzbehörde (www.dsb.gv.at (öffnet in einem neuen Tab)) wenden.