Gegenstand und Dauer des Auftrags

1. Gegenstand

   Der Gegenstand dieses Vertrages ergibt sich aus dem Rahmenvertag „Allgemeine Geschäftsbedingungen von easyGuestmanagement“, abgeschlossen zwischen dem Auftraggeber und Auftragsverarbeiter, auf den hier verwiesen wird (nachfolgend „Hauptvertrag“). Diese Vereinbarung ist als Ergänzung zum Hauptvertrag zu verstehen.

2. Dauer

   Die Dauer dieses Vertrages (Laufzeit) entspricht der Laufzeit des Hauptvertrages.

Ort, Art und Zweck der Datenverarbeitung

1. Zweck der Verarbeitung

    

   • Ermöglichung und Vereinfachung der Bürokratie der Beherbergung von Gästen in Gaststätten inkl. Gästemeldung
   • Verbesserung des Hotelprogrammes und deren Peripherie Programme (Rechnungslegung etc.)

    

2. Ort der Durchführung der Datenverarbeitung

   Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

3. Art der Daten

   Gegenstand der Verarbeitung personenbezogener Daten sind folgende Datenarten/-kategorien (Aufzählung/Beschreibung der Datenkategorien)

   Meldedaten an Feratel (welcher die Daten an die Gemeinde/Meldeamt weiterleitet)

   • Personenstammdaten
   • Geburtsjahr
   • Reisezeitraum
   • Herkunftsland
   • Postleitzahl
   • Postanschrift

   Gästeadressdatei des Vermieters

   • Personenstammdaten inkl. Mitreisenden
   • Personenkontaktdaten
   • Geburtsdatum
   • Reisezeitraum
   • Reisedokument
   • Kontaktdaten (Telefon, Fax, E-Mail)
   • Referenz zum Meldevorgang
   • Motive, Interessen
   • Sprache
   • Familienzugehörigkeit
   • Konsumierte Leistungen während des Aufenthaltes (Logi, Bargeschäft, etc.)
   • Anreiseart
   • Verwendungszweck (optin Newsletter, Marketingverwendung, Bewertungen)
   • Spracheinstellungen, IP-Adresse, Standort, Geräteeinstellungen, Betriebssystem des Geräts, Zugriffszeiten, abgefragte URLs, Informationen zum Browser, Betriebssystem

   Kundendaten für die Rechnungslegung und Marketing

   • Kontaktdaten
   • Personenstammdaten
4. Kategorien betroffener Personen

   Die Kategorien der durch die Verarbeitung betroffenen Personen umfassen:

   • Gäste (Meldewesen)
   • Meldepflichtige (Hotels, Zweitwohnsitzbesitzer…)
   • Kunden (Rechnungslegung, Marketing inkl. Newsletter)
5. Dauer der Speicherung

   Aufgrund der gesetzlichen Aufbewahrungsfristen mindestens 7 Jahre.

Technische und organisatorische Maßnahmen

1. Die in der Anlage 1 beschriebenen Datensicherheitsmaßnahmen werden als verbindlich festgelegt. Sie definieren das vom Auftragnehmer geschuldete Minimum. Die Datensicherheitsmaßnahmen können jedoch der technischen und organisatorischen Weiterentwicklung entsprechend angepasst werden, solange das vereinbarte Niveau nicht unterschritten wird. Zur Aufrechterhaltung der Informationssicherheit erforderliche Änderungen hat der Auftragnehmer unverzüglich umzusetzen. Änderungen sind zu dokumentieren und dem Auftraggeber mitzuteilen. Wesentliche Änderungen sind zwischen den Parteien zu vereinbaren.
2. Soweit die getroffenen Sicherheitsmaßnahmen den Anforderungen des Auftraggebers nicht mehr genügen, benachrichtigt der Auftragnehmer den Auftraggeber unverzüglich.
3. Der Auftragnehmer sichert zu, dass die im Auftrag verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden.
4. Kopien und Duplikate werden ohne Wissen des Auftraggebers nicht erstellt. Ausgenommen sind technisch notwendige, temporäre Vervielfältigungen, soweit eine Beeinträchtigung des vereinbarten Datenschutzniveaus ausgeschlossen ist.

Pflichten des Auftragnehmers

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart, es sei denn, der Auftragnehmer ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Sofern solche Verpflichtungen für ihn bestehen, teilt der Auftragnehmer diese dem Auftraggeber vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten. Der Auftragnehmer verwendet darüber hinaus die zur Verarbeitung überlassenen Daten für keine anderen, insbesondere nicht für eigene Zwecke.
2. Der Auftragnehmer ergreift die technischen und organisatorischen Maßnahmen, damit der Aufraggeber die Rechte der betroffenen Person nach Kapitel III der DSGVO (Information, Auskunft, Berichtigung und Löschung, Datenübertragbarkeit Widerspruch, sowie automatisierte Entscheidungsfindung im Einzelfall) innerhalb der gesetzlichen Fristen jederzeit erfüllen kann und überlässt dem Auftraggeber alle dafür notwendigen Informationen.
3. Der Auftragnehmer erklärt, dass er alle mit der Datenverarbeitung beauftragten Personen vor Aufnahme der Tätigkeit zur Vertraulichkeit verpflichtet hat oder diese einer angemessenen gesetzlichen Verschwiegenheitsverpflichtung unterliegen.
4. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Artikeln 32 bis 36 der DSGVO genannten Pflichten (Datensicherheitsmaßnahmen, Meldungen von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde, Benachrichtigung der von einer Verletzung des Schutzes personenbezogener Daten betroffenen Person, Datenschutz-Folgeabschätzung, vorherige Konsultation).
5. Der Auftragnehmer informiert den Auftraggeber unverzüglich von Kontrollen oder Maßnahmen von Aufsichtsbehörden oder anderen Dritten, soweit diese einen Bezug zur Auftragsverarbeitung aufweisen.
6. Der Auftragnehmer hat den Auftraggeber unverzüglich zu informieren, wenn eine vom Auftraggeber erteilte Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.
7. Der Auftragnehmer haftet dem Auftraggeber für jene Schäden, die der Auftragnehmer im Zusammenhang mit der Erbringung der beauftragten vertraglichen Leistung schuldhaft verursacht hat.

Unterauftragsverhältnisse

1. Die Beauftragung von Subunternehmern ist nur nach vorheriger ausdrücklicher schriftlicher Zustimmung des Auftraggebers unter der Bedingung einer vertraglichen Vereinbarung nach Maßgabe des Art. 28 Abs. 2-4 DSGVO im Einzelfall zulässig. Dabei ist sicherzustellen, dass der Subunternehmer dieselben Verpflichtungen eingeht, die dem Aufragnehmer aufgrund dieses Vertrages obliegen.
2. Der Auftraggeber erteilt hiermit seine ausdrückliche Zustimmung zur Beauftragung der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland, als Subauftragnehmer des Auftragnehmers. Der Auftragnehmer wird den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter informieren, wodurch der Auftraggeber die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.
3. Kommt der Subunternehmer seinen Datenschutzverpflichtungen nicht nach, so haftet hierfür der Auftragnehmer gegenüber dem Auftraggeber.

Kontrollrechte des Auftraggebers

1. Der Auftraggeber ist berechtigt, die Einhaltung der Vorschriften über den Datenschutz und der vertraglichen Vereinbarungen beim Auftragnehmer in dessen Geschäftsbetrieb im angemessenen Umfang selbst oder durch Dritte, insbesondere durch die Einholung von Auskünften und die Einsichtnahme in die gespeicherten Daten und die Datenverarbeitungsprogramme sowie sonstige Kontrollen vor Ort zu kontrollieren. Kontrollen beim Auftragnehmer haben ohne vermeidbare Störungen seines Geschäftsbetriebs zu erfolgen.

Löschung und Rückgabe von personenbezogenen Daten

1. Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Auftraggeber – spätestens mit Beendigung des Hauptvertrages – hat der Auftragnehmer sämtliche in seinen Besitz gelangten Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten.
2. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren.

Datenexport und Datenwartung durch den Vermieter

1. Das Exportieren und Löschen der Gastdaten ist über die Gästekartei jederzeit möglich. Zu beachten ist, dass das hinaufladen von externen Dokumenten, in der Gästekartei unter dem Punkt Dokumente, nicht empfohlen wird, da diese Daten nicht gesichert abgelegt werden (können). Der Zugriff auf diesen Daten ist von außen nicht beschränkt und dient ausschließlich dem Zweck, öffentliche Dokumente zu verbreiten. Auf keinen Fall dürfen hier Reisepässe, Kreditkartendaten oder Ähnliches hochgeladen werden.

Sonstiges

1. Sollte eine Bestimmung dieses Vertrages unwirksam oder undurchführbar sein, so wird dadurch die Gültigkeit dieses Vertrages nicht berührt. Eine unwirksame bzw. undurchführbare Bestimmung ist durch eine solche wirksame Bestimmung zu ersetzen, die der unwirksamen oder undurchführbaren Bestimmung in ihrem wirtschaftlichen Gehalt möglichst nahe kommt.
2. Änderungen dieses Vertrags bedürfen der Schriftform. Dies gilt auch für die Aufhebung oder Änderung dieses Schriftformerfordernisses.
3. Dieser Vertrag unterliegt österreichischem Recht unter Ausschluss der Kollisionsnormen und des UN-Kaufrechts.
4. Für etwaige Streitigkeiten aus oder in Zusammenhang mit diesem Vertrag ist das sachlich zuständige Gericht in Reutte ausschließlich zuständig.