DSGVO-Dokumentation

1. Auftragsverarbeitungsvertrag (AVV)

1.1 Vertragsparteien

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV”) wird geschlossen zwischen dem Unternehmen, das das System Resovu nutzt (nachfolgend „Verantwortlicher”), und Lubomír Unar, ID-Nr. (IČO) 05000386 (nachfolgend „Auftragsverarbeiter”). Der AVV ist integraler Bestandteil der Nutzungsbedingungen von Resovu.

1.2 Gegenstand und Dauer der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten der Kunden des Verantwortlichen zum Zweck der Bereitstellung des Buchungssystems. Die Verarbeitung erfolgt für die Dauer des Dienstleistungsvertrags. Kategorien betroffener Personen: Kunden des Verantwortlichen, die Buchungen vornehmen, bei Unterkünften auch mitreisende Gäste und bei Aktivitäten für Kinder deren gesetzliche Vertreter. Datenkategorien: Name, Nachname, E-Mail, Telefon, Buchungs- und Aufenthaltsdaten, optionale benutzerdefinierte Felder, Treuepunkte, Bewertungen und an Kunden ausgestellte Belege. Bei Unterkünften je nach Einstellung des Verantwortlichen auch Meldedaten der Gäste (Geburtsdatum und -ort, Geschlecht, Staatsangehörigkeit, Anschrift, Art und Nummer des Ausweisdokuments, Visum, Zweck des Aufenthalts) sowie mit Einwilligung des Gastes ein Verweis auf die bei Stripe gespeicherte Zahlungskarte (Kennung, Marke, letzte vier Ziffern) und der Einwilligungsnachweis.

1.3 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich: personenbezogene Daten nur auf Grundlage dokumentierter Weisungen des Verantwortlichen zu verarbeiten; sicherzustellen, dass sich zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichten; alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen zu ergreifen; die Bedingungen für die Einbeziehung von Unterauftragsverarbeitern einzuhalten; den Verantwortlichen bei der Erfüllung der Pflichten gemäß Art. 32 bis 36 DSGVO zu unterstützen; nach Beendigung des Vertrags alle personenbezogenen Daten zu löschen oder zurückzugeben; dem Verantwortlichen alle zum Nachweis der Pflichtenerfüllung erforderlichen Informationen bereitzustellen.

1.4 Weisungen des Verantwortlichen

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Weisung zur Verarbeitung personenbezogener Daten im für die Erbringung des Resovu-Dienstes erforderlichen Umfang. Der Verantwortliche kann weitere Weisungen über die Einstellungen in der Systemverwaltung erteilen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen die DSGVO verstößt.

1.5 Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Einbeziehung der im Abschnitt Liste der Unterauftragsverarbeiter aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen hinsichtlich der Hinzufügung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann innerhalb von 30 Tagen Einspruch gegen Änderungen erheben. Verbindet der Verantwortliche ein eigenes Konto bei einem SMS-Anbieter (z. B. BulkGate oder seven.io), übermittelt der Auftragsverarbeiter diesem Anbieter auf Weisung des Verantwortlichen die Telefonnummer und den Erinnerungstext; dieser Anbieter ist Auftragsverarbeiter des Verantwortlichen auf Grundlage eines mit dem Verantwortlichen geschlossenen Vertrags und kein Unterauftragsverarbeiter des Auftragsverarbeiters. Dasselbe gilt für weitere Dienste, die der Verantwortliche selbst verbindet (Buchungsportale über iCal-Kalender, PriceLabs, Webhooks, Zapier): Der Auftragsverarbeiter übermittelt ihnen Daten auf Weisung des Verantwortlichen, und sie sind keine Unterauftragsverarbeiter des Auftragsverarbeiters.

1.6 Sicherheitsmaßnahmen

Der Auftragsverarbeiter implementiert angemessene technische und organisatorische Maßnahmen: AES-256-GCM-Verschlüsselung für sensible Felder; HTTPS/TLS für jegliche Datenübertragung; Mandantendatenisolierung mittels Row Level Security; rollenbasierte Zugriffskontrolle (RBAC); Hashing von IP-Adressen; automatische Löschung personenbezogener Daten nach Ablauf der Aufbewahrungsfrist; Sicherheitsheader (CSP, HSTS, X-Frame-Options); Ratenbegrenzung zum Schutz vor Missbrauch.

1.7 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens innerhalb von 48 Stunden. Die Meldung enthält: eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Anzahl betroffener Personen, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.

1.8 Unterstützung bei der Ausübung von Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Pflicht, auf Anträge betroffener Personen zur Ausübung ihrer Rechte gemäß Kapitel III DSGVO zu reagieren. Das System ermöglicht: Export von Kundendaten (Art. 20), Anonymisierung/Löschung von Daten (Art. 17), Übersicht der verarbeiteten Daten (Art. 15).

1.9 Audit

Der Auftragsverarbeiter ermöglicht und unterstützt Audits und Kontrollen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer. Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Einhaltung der in Art. 28 DSGVO festgelegten Pflichten erforderlichen Informationen bereit. Ein Audit kann einmal jährlich mit einer Vorlaufzeit von 30 Tagen durchgeführt werden.

1.10 Verarbeitungsdauer und Löschung

Nach Beendigung der Dienstleistung löscht der Auftragsverarbeiter alle personenbezogenen Daten innerhalb von 30 Tagen, sofern EU- oder mitgliedstaatliches Recht keine Aufbewahrung erfordert. Der Verantwortliche kann vor Beendigung alle Daten über die DSGVO-Exportfunktion in der Systemverwaltung exportieren.

2. Verzeichnis der Verarbeitungstätigkeiten (VVT)

Aufzeichnungen gemäß Art. 30 DSGVO über Verarbeitungstätigkeiten im System Resovu.

3. Verfahren bei Verletzung des Schutzes personenbezogener Daten

3.1 Erkennung und Meldung

Resovu implementiert Überwachungssysteme zur Erkennung von Sicherheitsvorfällen. Jeder Mitarbeiter oder Partner ist verpflichtet, jeden Verdacht auf eine Datensicherheitsverletzung unverzüglich der Unternehmensleitung zu melden.

3.2 Schweregradbewertung

Nach Feststellung eines Vorfalls beurteilt die verantwortliche Person unverzüglich: den Umfang der betroffenen Daten, die Anzahl der betroffenen Personen, die wahrscheinlichen Auswirkungen auf die Rechte und Freiheiten der Betroffenen, ob die Daten verschlüsselt waren, ob die Auswirkungen gemindert werden können.

3.3 Meldung an die Aufsichtsbehörde

Wenn die Verletzung voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen darstellt, meldet Resovu den Vorfall der zuständigen Aufsichtsbehörde innerhalb von 72 Stunden nach Feststellung. Die Meldung enthält: Beschreibung der Art der Verletzung, Kontaktdaten des DSB, Beschreibung der wahrscheinlichen Folgen, Beschreibung der ergriffenen Maßnahmen. Aufsichtsbehörden: ÚOOÚ – www.uoou.cz (Tschechien), ÚOOU SR – www.dataprotection.gov.sk (Slowakei), BfDI – www.bfdi.bund.de (Deutschland), UODO – www.uodo.gov.pl (Polen), NAIH – www.naih.hu (Ungarn), AEPD – www.aepd.es (Spanien), Datatilsynet – www.datatilsynet.no (Norwegen); CNIL – www.cnil.fr (Frankreich).

3.4 Benachrichtigung der Betroffenen

Wenn die Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen darstellt, informiert Resovu die betroffenen Personen unverzüglich. Die Benachrichtigung erfolgt in verständlicher Sprache und enthält Empfehlungen zur Minderung der Auswirkungen.

3.5 Dokumentation

Alle Sicherheitsvorfälle werden in einem internen Register erfasst, einschließlich: Datum der Feststellung, Beschreibung des Vorfalls, betroffene Daten und Personen, ergriffene Maßnahmen, Entscheidungen über Meldungen an Behörden und Betroffene, Untersuchungsergebnisse.

3.6 Kontakt für Vorfallmeldungen

Melden Sie Sicherheitsvorfälle an: security@resovu.com. Geben Sie im Betreff „Sicherheitsvorfall“ an. Stellen Sie möglichst viele Informationen über Art und Umfang des Vorfalls bereit.

4. Liste der Unterauftragsverarbeiter