Auftragsverarbeitungsvertrag (AVV)

Präambel und Vertragsparteien

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien für die Verarbeitung personenbezogener Daten, die im Rahmen der Nutzung der Plattform „tud dret cabo verde" erfolgt.

• Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der/die Gastgeber:in bzw. Anbieter:in, der/die diesen AVV im Rahmen der Registrierung annimmt (nachfolgend „Auftraggeber").
• Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist der Betreiber der Plattform gemäß Impressum, [Firma/Anschrift ergänzen] (nachfolgend „Auftragnehmer").

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers zur Bereitstellung der Plattform-Funktionen (u. a. Verwaltung von Inseraten/Aktivitäten, Empfang und Bearbeitung von Anfragen, Nachrichten, Buchungs-/Anfrage­abwicklung, Bewertungen). Der AVV gilt für die Dauer der Nutzung der Plattform durch den Auftraggeber.

§ 2 Art, Zweck und Umfang der Verarbeitung

Verarbeitet werden Daten, die im Rahmen von Anfragen und Buchungen anfallen. Zweck ist ausschließlich die vertragsgemäße Bereitstellung der Plattform und die Kommunikation zwischen Gast und Auftraggeber. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet im Rahmen dieses AVV nicht statt.

§ 3 Kategorien betroffener Personen und Datenarten

Betroffene Personen: Gäste/Interessent:innen des Auftraggebers. Datenarten: Stammdaten (Name), Kontaktdaten (E-Mail, ggf. Telefon), Anfrage-/Buchungsdaten (Reisezeitraum, Personenzahl, Nachrichten), Inhalte der Kommunikation. [Bei Bedarf konkretisieren.]

§ 4 Weisungsgebundenheit

Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers. Die Nutzung der Plattform­funktionen gilt als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber.

§ 5 Vertraulichkeit

Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzbestimmungen vertraut sind (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen zum Schutz der Daten (u. a. Transportverschlüsselung (HTTPS), Zugriffs- und Rollenkonzept, passwortlose Anmeldung, regelmäßige Backups, protokollierte Zugriffe). [Vollständige TOM-Auflistung ergänzen und als Anlage beifügen.]

§ 7 Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz von Unterauftragnehmern zu, insbesondere für Hosting und E-Mail-Versand. [Konkret benennen: Hosting-Anbieter, E-Mail-Versanddienst, Zahlungsdienstleister für Provisionen etc. – jeweils mit Sitz und Zweck.] Der Auftragnehmer verpflichtet Unterauftragnehmer auf ein gleichwertiges Datenschutzniveau und informiert über beabsichtigte Änderungen.

§ 8 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Möglichen bei der Wahrung der Betroffenenrechte (Art. 12–23 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

§ 9 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt bei den erforderlichen Meldungen (Art. 33, 34 DSGVO).

§ 10 Löschung und Rückgabe

Nach Abschluss der Verarbeitung löscht der Auftragnehmer die Daten oder gibt sie nach Wahl des Auftraggebers zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht. [Fristen und Ausnahmen ergänzen.]

§ 11 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung dieser Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen im angemessenen Rahmen (Art. 28 Abs. 3 lit. h DSGVO).

§ 12 Drittlandübermittlung

Eine Übermittlung in Drittländer erfolgt nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO. [Falls zutreffend: Garantien/Standardvertragsklauseln benennen.]

§ 13 Schlussbestimmungen

Bei Widersprüchen geht dieser AVV den sonstigen Nutzungsbedingungen in Datenschutz­fragen vor. Änderungen bedürfen der Textform. Es gilt [das Recht von …]. Stand: [Datum].