Entwurf. Dieser Text ist noch nicht rechtlich geprüft und gilt noch nicht.

Vertrag zur Auftragsverarbeitung

zwischen dem Kunden (Verantwortlicher) und [Firma, Anschrift] (Auftragsverarbeiter). Der Vertrag wird bei der Registrierung abgeschlossen und gilt für die Dauer des Hauptvertrags.

1. Gegenstand und Zweck

Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software Host Society: Verwaltung von Buchungen, Gästekommunikation (auch mit KI-Vorschlägen), Online-Check-in, Meldeschein, Kurtaxe, Rechnungen, Reinigung und Aufgaben, Anbindung an Buchungsportale.

2. Art der Daten und betroffene Personen

• Gäste und Mitreisende: Name, Kontaktdaten, Aufenthaltszeitraum, Personenzahl, Nachrichten, Rechnungsdaten.
• Meldeschein und Check-in: Geburtsdatum, Staatsangehörigkeit, Anschrift, Ausweisart und -nummer, Unterschrift.
• Mitarbeiter des Verantwortlichen: Name, E-Mail, Rolle, Arbeitszeiten und Abwesenheiten für den Einsatzplan.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, die sich aus diesem Vertrag und der Bedienung der Software ergibt.

4. Vertraulichkeit

Personen mit Zugang zu den Daten sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

• Hosting in der EU-Region Frankfurt (Anwendung), Datenbank [Region]
• Verschlüsselte Übertragung (TLS)
• Strikte Trennung der Kundendaten in der Datenbank (Row-Level-Security)
• Rollen und Rechte (Eigentümer, Verwaltung, Reinigung); Reinigungskräfte sehen keine Gästenamen und Beträge
• Passwörter nur als Argon2-Hash, Begrenzung von Anmeldeversuchen
• Protokoll aller KI-Aktionen mit Begründung; Nachrichten, Preise und Stornos nur nach Freigabe
• Automatische Löschung von Meldescheindaten nach Ablauf der gesetzlichen Frist
• Datensicherung durch den Datenbank-Anbieter [Umfang, Wiederherstellungszeitraum]

6. Unterauftragnehmer

Der Verantwortliche genehmigt folgende Unterauftragnehmer: Vercel Inc. (Hosting), Neon Inc. (Datenbank), Anthropic PBC (KI-Funktionen), Channex [Firma] (Anbindung an Buchungsportale), [Mail-Dienst]. Über Änderungen informiert der Auftragsverarbeiter vorab; der Verantwortliche kann widersprechen.

7. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen, bei Datenschutzvorfällen (Meldung ohne schuldhaftes Zögern) und bei Datenschutz-Folgenabschätzungen.

8. Löschung und Rückgabe

Der Verantwortliche kann alle Daten jederzeit exportieren und sein Konto löschen. Nach Vertragsende werden die Daten [innerhalb von … Tagen] gelöscht, soweit keine Pflicht zur Aufbewahrung besteht.

9. Nachweise und Kontrollen

[Regelung zu Nachweisen und Prüfungen]