AUFTRAGSVERARBEITUNGSVERTRAG (AVV)

1. Parteien

2. Gegenstand und Dauer (Art. 28 Abs. 3 DSGVO)

Der Verantwortliche beauftragt den Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten in seinem Auftrag über die Vezpa-Plattform. Die Verarbeitung hat die Dauer des Abonnementvertrags zwischen den Parteien und endet mit dessen Auflösung, vorbehaltlich der Regelungen in §14.

3. Art, Zweck und Kategorien der verarbeiteten Daten

3.1 Zwecke

• Verwaltung der Buchungen, des Aufenthalts und des Check-in/Check-out
• Erfüllung der gesetzlichen Verpflichtungen des Verantwortlichen gegenüber den öffentlichen Behörden (AlloggiatiWeb, ISTAT, PayTourist, Feratel/Meldeamt, SES.HOSPEDAJES, NTAK, eVisitor, SEF, UbyPort, eTurizem)
• Weitergabe von Buchungsdaten an OTA-Kanäle und den von der Unterkunft aktivierten Channel Manager
• Versand von Mitteilungen an den Gast (Bestätigungen, Pre-Check-in, Zahlungen)
• Zahlungsabwicklung über Booking Engine oder Stripe-Links
• Erstellung von Berichten und Statistiken für den Verantwortlichen

3.2 Kategorien betroffener Personen

• Gäste der Unterkünfte und deren Begleiter
• Personen, die für andere buchen
• Eventuell vom Gast angegebene Notfallkontakte

3.3 Art der verarbeiteten personenbezogenen Daten

• Identifikations- und Personendaten (Name, Vorname, Geburtsdatum und -ort, Staatsangehörigkeit, Geschlecht)
• Ausweisdokumente (Art, Nummer, Ausstellungsdatum, ausstellende Behörde, gescanntes oder fotografiertes Bild)
• Aus dem Dokument per automatischem OCR extrahierte Textdaten
• Kontaktdaten (E-Mail, Telefon, Adresse)
• Buchungs- und Aufenthaltsdaten
• Zahlungsdaten (verwaltet von Stripe, nicht bei Vezpa gespeichert)

4. Weisungen des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO)

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen. Die allgemeinen Weisungen sind im vorliegenden AVV, in der Datenschutzerklärung, in der DSGVO-Information und in den Allgemeinen Geschäftsbedingungen enthalten. Spezifische Weisungen können vom Verantwortlichen erteilt werden über:

• Konfigurationen in seinem Konto (Aktivierung/Deaktivierung von Behörden-Konnektoren, OTAs, Aufbewahrungsfristen)
• Anbindung externer, vom Verantwortlichen gewählter Dienste, etwa der Sprachplattform, die das Telefon der Unterkunft beantwortet (z. B. Retell, Vapi, ElevenLabs): Der Auftragsverarbeiter übermittelt dem Dienst nur dann, wenn dieser ihn mit dem vom Verantwortlichen erzeugten Schlüssel abfragt, die für die Antwort erforderlichen Daten (Verfügbarkeit, Preise, Angaben zur Unterkunft und, nach Prüfung von Telefonnummer und Nachname, Aufenthaltsdaten und Beträge der Buchung des Anrufers) und erhält von ihm Nachrichten und Zusammenfassungen der Anrufe. Der externe Dienst wird vom Verantwortlichen ausgewählt, beauftragt und bezahlt: Er ist dessen Auftragsverarbeiter, kein Unterauftragsverarbeiter des Auftragsverarbeiters, und der Verantwortliche ist für ihn verantwortlich (Vertrag nach Art. 28 DSGVO, Information der betroffenen Personen, etwaige Aufzeichnung der Anrufe, Übermittlungen außerhalb der EU).
• Schriftliche Mitteilung an info@vezpa.it oder per PEC an lavezpa@pec.it

Sollte der Auftragsverarbeiter der Auffassung sein, dass eine Weisung gegen die DSGVO oder andere anwendbare Bestimmungen verstößt, informiert er den Verantwortlichen unverzüglich.

5. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 lit. b-h DSGVO)

Der Auftragsverarbeiter verpflichtet sich:

1. Vertraulichkeit: die Daten vertraulich zu behandeln und sicherzustellen, dass die zur Verarbeitung befugten Personen einer Vertraulichkeitspflicht unterliegen;
2. Sicherheit: die in Anlage B vorgesehenen technischen und organisatorischen Maßnahmen zu ergreifen, die dem Risiko angemessen sind;
3. Unterauftragsverarbeiter: die Bedingungen von §6 einzuhalten;
4. Unterstützung des Verantwortlichen: den Verantwortlichen bei der Erfüllung seiner Pflichten zu unterstützen, insbesondere:
   • Antwort auf Anfragen der Betroffenen (Art. 15-22 DSGVO) innerhalb von Fristen, die es dem Verantwortlichen ermöglichen, innerhalb der gesetzlichen 30 Tage zu antworten;
   • Meldung von Datenschutzverletzungen an den Verantwortlichen innerhalb von 48 Stunden nach Entdeckung (§7);
   • Unterstützung bei DSFA (Art. 35) und vorherigen Konsultationen (Art. 36);
   • Nachweis der Konformität durch Dokumentation und, falls erforderlich, Audit (§9).
5. Rückgabe / Löschung der Daten am Ende, wie in §14 vorgesehen;
6. Information: dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung dieses AVV erforderlich sind.

6. Unterauftragsverarbeiter (Art. 28 Abs. 2 und Abs. 4 DSGVO)

6.1 Allgemeine Genehmigung

Der Verantwortliche gestattet dem Auftragsverarbeiter die Beauftragung der unter vezpa.it/subprocessors aufgeführten Unterauftragsverarbeiter sowie jener, die später gemäß dem hier beschriebenen Verfahren hinzugefügt werden.

6.2 Vorankündigung bei Änderungen

Der Auftragsverarbeiter teilt dem Verantwortlichen die Absicht, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, mit mindestens 30 Tagen Vorankündigung per E-Mail an die registrierte Adresse und/oder Hinweis im Dashboard mit. Innerhalb dieser Frist kann der Verantwortliche begründet widersprechen. Bei nicht lösbarem Widerspruch kann jede Partei vom Vertrag zurücktreten und die betroffene Verarbeitung beenden.

6.3 Pflichten gegenüber Unterauftragsverarbeitern

Der Auftragsverarbeiter erlegt den Unterauftragsverarbeitern schriftlich Datenschutzpflichten auf, die den hier vorgesehenen gleichwertig sind, und haftet gegenüber dem Verantwortlichen für das Handeln der Unterauftragsverarbeiter.

7. Datenschutzverletzung (Art. 33 DSGVO)

Im Falle einer Datenschutzverletzung, die im Auftrag des Verantwortlichen verarbeitete Daten betrifft, wird der Auftragsverarbeiter:

• Den Verantwortlichen unverzüglich und auf jeden Fall innerhalb von 48 Stunden nach Entdeckung benachrichtigen, sofern keine dokumentierte höhere Gewalt vorliegt;
• Die in Art. 33 Abs. 3 DSGVO geforderten Informationen bereitstellen (Art, Kategorien und ungefähre Zahl der Betroffenen und Daten, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen);
• Mit dem Verantwortlichen bei den Mitteilungen an die Betroffenen und die Aufsichtsbehörde zusammenarbeiten;
• Den Vorfall und die ergriffenen Maßnahmen dokumentieren.

Die Meldung an den Verantwortlichen erfolgt per E-Mail an die registrierte Adresse und PEC, falls verfügbar. Der Verantwortliche bleibt für externe Meldungen (an die Datenschutzbehörde, an Betroffene) gemäß Art. 33-34 DSGVO verantwortlich.

8. Rechte der Betroffenen (Art. 28 Abs. 3 lit. e DSGVO)

Wenn sich ein Betroffener direkt an den Auftragsverarbeiter wendet, um Rechte in Bezug auf im Auftrag des Verantwortlichen verarbeitete Daten auszuüben, leitet der Auftragsverarbeiter die Anfrage unverzüglich an den Verantwortlichen weiter und antwortet nicht im Namen des Verantwortlichen, sofern keine andere Weisung vorliegt.

Der Auftragsverarbeiter stellt dem Verantwortlichen im Dashboard und über API Funktionen zur Verfügung für:

• Export der Daten eines Betroffenen (Auskunft und Datenübertragbarkeit)
• Berichtigung
• Löschung oder Anonymisierung
• Einschränkung der Verarbeitung

Bei Anfragen, die manuelle technische Eingriffe erfordern, antwortet der Auftragsverarbeiter innerhalb von 10 Arbeitstagen nach Erhalt der Weisung des Verantwortlichen.

9. Audit (Art. 28 Abs. 3 lit. h DSGVO)

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage Informationen und Dokumentation zur Verfügung, die die Einhaltung des vorliegenden AVV nachweisen, darunter:

• Zusammenfassung der umgesetzten Sicherheitsmaßnahmen
• Liste der Unterauftragsverarbeiter mit Standorten und Übermittlungsgrundlagen
• Verzeichnis der Verarbeitungstätigkeiten (relevante Ausschnitte)
• Zertifizierungen der Unterauftragsverarbeiter (ISO 27001, SOC 2, DPF), soweit verfügbar

9.1 Modalitäten und Grenzen des Audits

• Standardmodus — dokumentenbasierte Fernprüfung: Der Verantwortliche kann mit einer schriftlichen Vorankündigung von mindestens 30 Tagen und höchstens einmal jährlich die Bereitstellung von Sicherheitsdokumentation, Zertifizierungen, Verzeichnissen und Antworten auf Fragebögen verlangen. Dies ist das Standardverfahren.
• Vor-Ort-Audit am Sitz von Vezpa: ausschließlich zulässig bei festgestelltem Vertragsverstoß oder bestätigter, dem Auftragsverarbeiter zuzurechnender Datenschutzverletzung, mit einer schriftlichen Vorankündigung von mindestens 30 Tagen.
• Dauer: Jedes Audit darf 2 Arbeitstage nicht überschreiten; es findet während der Arbeitszeit und ohne Störung des laufenden Betriebs statt.
• Externe Prüfer: nur zugelassen, wenn sie gegenüber Vezpa durch eine Geheimhaltungsvereinbarung (NDA) gebunden sind und keinen Interessenkonflikt haben (keine direkten Wettbewerber des Auftragsverarbeiters).
• Kosten: vollständig vom Verantwortlichen zu tragen (einschließlich angemessener interner Kosten des Auftragsverarbeiters), es sei denn, das Audit stellt einen dem Auftragsverarbeiter zuzurechnenden Verstoß fest; in diesem Fall trägt dieser die Kosten.
• Vertraulichkeit: Im Audit erlangte Informationen unterliegen einer Vertraulichkeitspflicht, die über die Vertragsdauer hinaus für mindestens 5 Jahre gilt.

10. Drittlandstransfers (Kapitel V DSGVO)

Die Liste der Unterauftragsverarbeiter mit Angabe des Sitzes und der Rechtsgrundlage der Übermittlung ist veröffentlicht unter vezpa.it/subprocessors. Für Übermittlungen, die nicht durch einen Angemessenheitsbeschluss abgedeckt sind, verwendet der Auftragsverarbeiter:

• Standardvertragsklauseln 2021/914 und zusätzliche Maßnahmen, soweit erforderlich (dokumentiertes Transfer Impact Assessment);
• Oder andere geeignete Garantien gemäß Art. 46 DSGVO.

11. Rolle des Verantwortlichen

Der Verantwortliche erklärt und garantiert:

• Den Betroffenen die in Art. 13-14 DSGVO vorgesehene Information erteilt zu haben;
• Die eventuell für die Verarbeitung erforderlichen Rechtsgrundlagen (Einwilligung, Vertrag, gesetzliche Verpflichtung) eingeholt zu haben;
• Dem Auftragsverarbeiter rechtmäßige Weisungen zu erteilen;
• Die ordnungsgemäße Aufbewahrung und Löschung der Daten nach dem Ausscheiden aus der Vezpa-Plattform zu gewährleisten.

12. Vertraulichkeit

Jede Partei behandelt alle im Rahmen dieses AVV von der anderen Partei erhaltenen Informationen für die gesamte Vertragsdauer und für die nachfolgenden 5 Jahre streng vertraulich.

13. Haftung

Die Haftung jeder Partei gemäß Art. 82 DSGVO gegenüber den Betroffenen bleibt gesetzlich geregelt. In den Beziehungen zwischen den Parteien ist das vertragliche Haftungsregime das in den Allgemeinen Geschäftsbedingungen (§9-10) festgelegte, vorbehaltlich der zwingenden Aufteilung gemäß Art. 82 DSGVO.

14. Beendigung der Verarbeitung

Bei Beendigung des Vertrags aus welchem Grund auch immer wird der Auftragsverarbeiter:

1. Dem Verantwortlichen die Werkzeuge zur Verfügung stellen, um seine Daten in einem strukturierten Format (CSV/JSON) für 30 Tage nach Beendigung zu exportieren;
2. Nach Ablauf der 30 Tage die im Auftrag des Verantwortlichen verarbeiteten Daten aus den Produktionssystemen löschen oder anonymisieren;
3. Die Daten aus den Backups innerhalb des nächsten Rotationszyklus löschen (typischerweise innerhalb von 90 Tagen);
4. Die Daten, die Vezpa gesetzlich aufbewahren muss (typischerweise: Rechnungsdaten und Sicherheitsprotokolle), ausschließlich für die von den anwendbaren Vorschriften vorgeschriebenen Zeiten aufbewahren und dabei angemessene Sicherheitsmaßnahmen beibehalten.

15. Änderungen

Der Auftragsverarbeiter kann den vorliegenden AVV ändern, um regulatorische Entwicklungen (z.B. neue SCC, Maßnahmen der Datenschutzbehörde) oder organisatorische Änderungen umzusetzen. Wesentliche Änderungen werden dem Verantwortlichen mit mindestens 30 Tagen Vorankündigung mitgeteilt. Wenn der Verantwortliche nicht zustimmt, kann er ohne Vertragsstrafe für den nicht genutzten Teil des Abonnements zurücktreten.

16. Anwendbares Recht

Der vorliegende AVV unterliegt italienischem Recht. Für Streitigkeiten gilt §16 der Allgemeinen Geschäftsbedingungen.