Data Processing Agreement (AVV)

Version: 0.9 — Stand: 2026-08-21

zwischen

Verantwortlicher (nachfolgend „Auftraggeber“ oder „Tenant“):

Auftraggeber ist der Tenant, der diesen Auftragsverarbeitungsvertrag im Rahmen der Registrierung auf der Plattform elektronisch annimmt. Die Identifikationsdaten des Auftraggebers — Firma, Anschrift, vertretungsberechtigte Person und Kontakt-E-Mail — ergeben sich aus den bei der Registrierung angegebenen und im Tenant-Profil hinterlegten Stammdaten. Der Zeitpunkt der Annahme, die akzeptierte Dokumentversion sowie deren Inhalts-Hash werden im Annahme-Protokoll der Plattform revisionssicher gespeichert.

und

Auftragsverarbeiter (nachfolgend „Auftragnehmer“ oder „Anbieter“):

DK2 Ventures UG (haftungsbeschränkt)
Uhlbacher Str. 34
70329 Stuttgart
Deutschland
Vertreten durch: Daniel Hartmann
Amtsgericht Stuttgart, HRB 782509
DE350778053

— nachfolgend gemeinsam als „Parteien“ bezeichnet —

Präambel

Die Parteien haben einen SaaS-Nutzungsvertrag über die Plattform „Reynt“ geschlossen (die Plattform-AGB, nachfolgend „Hauptvertrag“). Im Rahmen dieses Hauptvertrages verarbeitet der Auftragnehmer im Auftrag des Auftraggebers personenbezogene Daten i.S.d. Art. 4 Nr. 1 DSGVO. Die Parteien schließen daher diesen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO ab.

§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand: Bereitstellung und Betrieb der mandantenfähigen SaaS-Plattform „Reynt“ zur Vermarktung und Abwicklung von Beherbergungs- und Vermietungsangeboten.

(2) Dauer: Der Vertrag ist zeitlich an die Laufzeit des Hauptvertrages gekoppelt und endet mit dessen Beendigung, jedoch nicht vor vollständiger Erfüllung der Pflichten aus § 4 Abs. 7 (Löschung).

(3) Art der Verarbeitung: Erheben, Erfassen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Bereitstellen, Ordnen, Organisieren, Aufbewahren, Archivieren, Sichern, Löschen.

(4) Zweck der Verarbeitung: Erbringung der vertraglich geschuldeten SaaS-Leistungen, insbesondere

Verwaltung von Listings, Buchungen und Buchungsanfragen;
Abwicklung von Buchungs- und Zahlungsvorgängen mit Endkunden, einschließlich der technischen Anbindung eines vom Auftraggeber selbst beauftragten Zahlungsdienstleisters (siehe § 6 Abs. 5);
Versand transaktionaler E-Mails (Buchungsbestätigungen, Zahlungs- benachrichtigungen, Erinnerungen, Stornobestätigungen);
Verwaltung von Eigentümern und Auszahlungsdaten;
iCal-Synchronisation mit externen Buchungskanälen;
Bereitstellung der Storefront und der Buchungs-API;
KI-gestützte Assistenz-, Generierungs- und Klassifikationsfunktionen (im Einzelnen § 6 Abs. 6 und Anhang 3): Erzeugen und Übersetzen von Inhalten sowie — auf Abruf des Auftraggebers in der Operator-Konsole — Auswerten und Zusammenfassen von Stamm-, Buchungs- und Kommunikationsdaten durch ein Sprachmodell; ausschließlich nach ausdrücklicher Aktivierung durch den Auftraggeber zusätzlich das Vorbereiten von Antworten auf eingehende Gast-Nachrichten;
Support und Fehleranalyse.

§ 2 Art der personenbezogenen Daten

Im Rahmen der Verarbeitung können folgende Datenkategorien betroffen sein:

Kategorie	Beispiele	Anmerkungen
Stammdaten Endkunden / Gäste	Name, Anrede, Anschrift, Geburtsdatum (optional), Nationalität (optional)	Pflichtangaben für Beherbergungsmeldescheine
Meldeschein-Daten	Identitätsdaten des Hauptgastes und mitreisender Personen, Ausweis-/Passnummer (soweit landesrechtlich gefordert), Unterschrift, Erfassungs-IP	Vollständig auf Feldebene verschlüsselt; Aufbewahrung nach landesrechtlicher Meldepflicht, danach automatisierte Löschung
Kontaktdaten Endkunden	E-Mail, Telefonnummer	Auf Server-Seite verschlüsselt (Age + Blind-Index für Suche)
Buchungsdaten	An-/Abreisedatum, Listing-ID, Gästezahl, Sonderwünsche, Hausordnungs-Akzeptanz	Aufbewahrung gemäß § 147 AO ggf. zehn Jahre nach Vertragsschluss
Zahlungs-Referenzen	Verwendungszweck / Zahlungsreferenz, Bank-Transaktionsreferenz, Auszahlungs-Referenz, Beleg-Hash	Es werden keine Kartendaten verarbeitet
Zahlungsdienstleister-Referenzen	Zahlungs- und Rückerstattungs-ID des Zahlungsdienstleisters, Status, Betrag, Ablaufzeitpunkt und Bezahllink der Zahlungssitzung, Organisations- und Profil-ID der angebundenen Händlerorganisation	Fallen nur an, wenn der Auftraggeber einen eigenen Zahlungsdienstleister anbindet (§ 6 Abs. 5). Der Auftragnehmer übermittelt an den Zahlungsdienstleister ausschließlich Betrag, Währung, die pseudonyme Buchungs-Zahlungsreferenz sowie interne Vorgangs-IDs — keinen Namen, keine Anschrift, keine E-Mail-Adresse und keine Zahlungsmitteldaten der Gäste. Die Zahlungsmitteldaten gibt der Gast unmittelbar auf der vom Zahlungsdienstleister betriebenen Bezahlseite ein; sie erreichen die Plattform zu keinem Zeitpunkt
Eigentümerdaten	Name, Anschrift, E-Mail, Telefon, Bankverbindung (verschlüsselt), Steuer-ID (verschlüsselt)	Bankverbindung und Steuer-ID werden über einen Tenant-spezifischen Schlüssel verschlüsselt (siehe Anhang 2); Name und Kontaktdaten werden nicht gesondert feldverschlüsselt
Account-Daten Tenant-Mitarbeiter	Name, E-Mail, Rolle, Login-Audit	Über Zitadel verwaltet
Server-Logs	IP-Adressen, User-Agents, Request-Pfade	Keine Request-Bodies; Aufbewahrung 30 Tage (siehe Anhang 2 Ziff. 5)

Welche dieser Daten ein Sprachmodell erreichen können. Ruft der Auftraggeber eine KI-gestützte Funktion nach § 1 Abs. 4 auf, werden die für die jeweilige Anfrage erforderlichen Daten an den Modell-Anbieter übermittelt. Betroffen sein können dabei Stammdaten Endkunden/Gäste, Kontaktdaten Endkunden, Buchungsdaten, Eigentümerdaten sowie — nur bei ausdrücklicher Aktivierung der Funktion nach Anhang 3 — der Inhalt eingehender Gast-Nachrichten. Meldeschein-Daten werden nicht an einen Modell-Anbieter übermittelt. Die Übermittlung erfolgt nur anlassbezogen zum Zeitpunkt des Funktionsaufrufs; eine dauerhafte Speicherung beim Modell-Anbieter zu eigenen Zwecken, insbesondere zum Training generativer Modelle, ist vertraglich ausgeschlossen (§ 6 Abs. 3 der Plattform-AGB).

Der Auftragnehmer stellt eine optionale Pseudonymisierung bereit, die Namen und Kontaktdaten vor der Übermittlung durch Platzhalter ersetzt und die Zuordnung erst in der Anzeige für den Auftraggeber wieder auflöst. Sie ist in der Console aktivierbar und standardmäßig nicht aktiv. Sie stellt eine Maßnahme nach Art. 32 DSGVO dar, keine Anonymisierung i.S.d. Erwägungsgrundes 26 DSGVO: der Auftragnehmer hält die Zuordnung vor, die Daten bleiben personenbezogen, und der Modell-Anbieter bleibt Unterauftragsverarbeiter.

§ 3 Kreis der betroffenen Personen

Endkunden / Reisegäste, die über eine Tenant-Storefront buchen;
Eigentümer von vom Tenant verwalteten Objekten;
Mitarbeiter und Beauftragte des Tenants, die die Operator-Konsole nutzen;
gegebenenfalls weitere natürliche Personen, deren Daten der Tenant in die Plattform einstellt.

§ 4 Pflichten des Auftragnehmers

(1) Weisungsgebundenheit. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Der Hauptvertrag und dieser AVV stellen die initiale Weisung dar. Weitere Weisungen sind in Textform zu erteilen.

(2) Drittlandverarbeitung. Eine Verarbeitung außerhalb der EU/des EWR findet nur unter den Bedingungen des § 7 dieses Vertrages statt.

(3) Vertraulichkeit der Mitarbeiter. Der Auftragnehmer verpflichtet seine zur Verarbeitung befugten Mitarbeiter ausdrücklich auf das Datengeheimnis i.S.d. Art. 28 Abs. 3 lit. b DSGVO und auf die Vertraulichkeit personenbezogener Daten. Die Verpflichtung wirkt über das Beschäftigungsverhältnis hinaus fort.

(4) Technische und organisatorische Maßnahmen (TOM). Der Auftragnehmer trifft die in Anhang 2 beschriebenen technischen und organisatorischen Maßnahmen i.S.v. Art. 32 DSGVO. Er ist berechtigt, diese während der Vertragslaufzeit weiterzuentwickeln, sofern das Schutzniveau dadurch nicht unterschritten wird.

(5) Unterstützung des Auftraggebers. Der Auftragnehmer unterstützt den Auftraggeber bei

der Erfüllung von Betroffenenrechten nach Art. 12–22 DSGVO durch geeignete technische und organisatorische Maßnahmen. Berichtigungen und Ergänzungen nach Art. 16 DSGVO kann der Auftraggeber jederzeit selbst über die Bearbeitungsfunktionen der Console vornehmen. Bei Ersuchen auf Auskunft (Art. 15 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO) unterstützt der Auftragnehmer den Auftraggeber auf Anforderung. Die Anforderung ist in Textform an datenschutz@reynt.co zu richten; der Auftragnehmer bearbeitet sie unverzüglich, spätestens innerhalb von zehn (10) Werktagen, sodass der Auftraggeber die Fristen des Art. 12 Abs. 3 DSGVO wahren kann. Der Auftragnehmer stellt hierfür schrittweise Selbstbedienungs- funktionen in der Console bereit; bis zu deren Verfügbarkeit erfolgt die Unterstützung manuell im vorgenannten Verfahren. Der Auftragnehmer weist darauf hin, dass einer vollständigen Löschung einzelner betroffener Personen regelmäßig gesetzliche Aufbewahrungs- pflichten (insbesondere §§ 147 AO, 257 HGB) sowie die Beleg- und Nachweisfunktion abgeschlossener Buchungs-, Rechnungs- und Zahlungsvorgänge entgegenstehen; in diesen Fällen erfolgt die Löschung nach Ablauf der jeweiligen Aufbewahrungsfrist. Zur Aufbewahrung nicht erforderliche personenbezogene Daten werden auf Anforderung im vorgenannten Verfahren gelöscht. Für die Bewertung, ob im Einzelfall ein Löschanspruch besteht, bleibt der Auftraggeber als Verantwortlicher zuständig;
der Erfüllung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung, vorherige Konsultation);
der Bearbeitung von Anfragen von Aufsichtsbehörden.

(6) Meldung von Datenschutzverletzungen. Der Auftragnehmer meldet dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, jede Verletzung des Schutzes personenbezogener Daten, die den Auftraggeber betrifft. Die Meldung erfolgt an die E-Mail-Adressen der für den Auftraggeber eingerichteten Administrator-Konten der Console sowie zusätzlich an eine vom Auftraggeber nach § 5 Abs. 4 in Textform benannte Datenschutz-Kontaktadresse, sofern eine solche benannt wurde. Die Meldung enthält mindestens die in Art. 33 Abs. 3 DSGVO genannten Angaben.

(7) Rückgabe / Löschung. Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer alle personenbezogenen Daten oder gibt sie dem Auftraggeber zurück, soweit nicht eine Verpflichtung zur Speicherung der personenbezogenen Daten nach dem Recht der Union oder der Mitgliedstaaten besteht. Der Auftragnehmer gewährt dem Auftraggeber eine Karenzzeit von 90 Tagen ab Vertragsende, in der er dem Auftraggeber dessen Daten in einem gängigen, maschinenlesbaren Format zur Verfügung stellt. Für Konfigurations-, Stamm- und Storefront-Daten sowie für Buchungsübersichten stehen hierfür Exportfunktionen in der Console bereit; einen darüber hinausgehenden vollständigen Datenexport einschließlich personenbezogener Daten stellt der Auftragnehmer innerhalb der Karenzzeit auf Anforderung in Textform an datenschutz@reynt.co bereit. Anschließend werden produktive Daten und Backups nach einem dokumentierten Löschkonzept (siehe Anhang 2) gelöscht.

(8) Auskunfts- und Nachweispflicht. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrages zur Verfügung. Auf Anfrage stellt der Auftragnehmer eine Selbstauskunft zur Umsetzung der TOM bereit.

(9) Verzeichnis von Verarbeitungstätigkeiten. Der Auftragnehmer führt ein Verzeichnis von Verarbeitungstätigkeiten i.S.v. Art. 30 Abs. 2 DSGVO und stellt dies auf Anforderung der zuständigen Aufsichtsbehörde zur Verfügung.

§ 5 Pflichten des Auftraggebers

(1) Der Auftraggeber ist im Verhältnis der Parteien Verantwortlicher i.S.v. Art. 4 Nr. 7 DSGVO und damit allein verantwortlich für die Rechtmäßigkeit der Verarbeitung sowie die Wahrung der Rechte der betroffenen Personen.

(2) Der Auftraggeber stellt sicher, dass für jede in die Plattform eingestellte personenbezogene Datenkategorie eine geeignete Rechtsgrundlage nach Art. 6 (ggf. Art. 9) DSGVO besteht.

(3) Der Auftraggeber informiert die betroffenen Personen ordnungsgemäß nach Art. 13/14 DSGVO über die Verarbeitung, einschließlich der Einbindung des Auftragnehmers als Auftragsverarbeiter. Nutzt er KI-gestützte Funktionen nach § 1 Abs. 4, erstreckt sich diese Informationspflicht auch auf die dabei stattfindende Übermittlung an einen Modell-Anbieter und, soweit dieser seinen Sitz außerhalb der EU/des EWR hat, auf die Drittlandübermittlung nebst der hierfür maßgeblichen Garantien (Anhang 3 bzw. — bei einem eigenen Modell-Anbieter — § 6 Abs. 6).

(4) Der Auftraggeber hält die Administrator-Konten seiner Console aktuell; deren E-Mail-Adressen sind der maßgebliche Meldeweg nach § 4 Abs. 6. Er kann darüber hinaus in Textform gegenüber dem Auftragnehmer einen gesonderten Datenschutz-Ansprechpartner (E-Mail, Telefon) benennen und hält diesen aktuell.

§ 6 Unterauftragsverarbeitung

(1) Die Beauftragung weiterer Auftragsverarbeiter (Subunternehmer) durch den Auftragnehmer ist zulässig, sofern sie zur Erbringung der Leistungen erforderlich ist und der Auftragnehmer mit dem Subunternehmer einen Vertrag schließt, der den Anforderungen des Art. 28 Abs. 4 DSGVO entspricht.

(2) Die zum Zeitpunkt des Vertragsschlusses bereits beauftragten Subunternehmer ergeben sich aus Anhang 3. Diese gelten mit Abschluss dieses Vertrages als genehmigt.

(3) Beabsichtigt der Auftragnehmer, weitere oder andere Subunternehmer zu beauftragen, kündigt er dies dem Auftraggeber mindestens 30 Tage vor der geplanten Änderung in Textform an. Widerspricht der Auftraggeber nicht innerhalb von 14 Tagen aus wichtigem Grund, gilt die Änderung als genehmigt. Im Falle eines berechtigten Widerspruchs sind die Parteien verpflichtet, eine einvernehmliche Lösung herbeizuführen; gelingt dies nicht innerhalb von 30 Tagen, ist jede Partei berechtigt, den Hauptvertrag und diesen AVV außerordentlich zu kündigen.

(4) Nicht als Subunternehmer i.S.d. Art. 28 DSGVO gelten Anbieter reiner Telekommunikations-, Reinigungs- oder Postdienstleistungen sowie sonstige Nebenleistungen.

(5) Vom Auftraggeber beauftragte Zahlungsdienstleister. Der Auftraggeber kann in der Plattform eine eigene Händlerorganisation bei einem Zahlungsdienstleister hinterlegen, um Endkundenzahlungen entgegenzunehmen. Das Vertragsverhältnis über die Zahlungsdienste kommt in diesem Fall unmittelbar zwischen dem Auftraggeber und dem Zahlungsdienstleister zustande (§ 9 Abs. 2 der Plattform-AGB); die Zahlungen fließen ausschließlich auf Konten des Auftraggebers bzw. der Eigentümer. Der Auftragnehmer stellt lediglich die technische Anbindung bereit und übermittelt die in § 2 genannten Angaben auf Weisung des Auftraggebers an den von diesem gewählten Zahlungsdienstleister.

Ein solcher Zahlungsdienstleister ist damit kein Subunternehmer des Auftragnehmers i.S.d. Art. 28 Abs. 4 DSGVO und wird folgerichtig nicht in Anhang 3 geführt: er wird nicht vom Auftragnehmer, sondern vom Auftraggeber als Verantwortlichem beauftragt, und er verarbeitet die Zahlungsdaten überdies in eigener Verantwortlichkeit zur Erfüllung eigener aufsichts- und geldwäscherechtlicher Pflichten. Der Auftraggeber bleibt dafür verantwortlich, das Verhältnis zu diesem Zahlungsdienstleister datenschutzrechtlich selbst auszugestalten und die betroffenen Personen nach Art. 13/14 DSGVO darüber zu informieren.

(6) Vom Auftraggeber beauftragte Modell-Anbieter (eigener API-Schlüssel). Der Auftraggeber kann in der Plattform einen eigenen Modell-Anbieter und einen eigenen API-Schlüssel hinterlegen.

Vorab und zur Einordnung: Der Auftragnehmer hält für die KI- und Embedding-Funktionen Zugänge zu mehreren Anbietern vor, darunter zu einem in der EU niedergelassenen Anbieter (Anhang 3). Der Auftraggeber wählt den Anbieter in der Operator-Konsole aus. Das Hinterlegen eines eigenen Schlüssels ist daher nicht erforderlich, um eine Verarbeitung durch einen in der EU niedergelassenen Anbieter zu erreichen; für diesen Weg bleiben die Pflichten und Garantien dieses Vertrages beim Auftragnehmer. Wählt der Auftraggeber einen Anbieter aus, für den der Auftragnehmer keinen Zugang vorhält, ohne einen eigenen Schlüssel zu hinterlegen, so wird die betreffende Funktion nicht ausgeführt; eine ersatzweise Übermittlung an einen anderen Anbieter findet nicht statt. Tut er dies, werden sämtliche KI-Anfragen seines Mandanten über seinen Zugang und auf seine Rechnung ausgeführt; der in Anhang 3 geführte Zugang des Auftragnehmers wird für diesen Mandanten nicht mehr genutzt. Der Auftragnehmer stellt lediglich die technische Anbindung bereit und übermittelt die in § 2 genannten Daten auf Weisung des Auftraggebers an den von diesem gewählten Anbieter.

Ein so beauftragter Modell-Anbieter ist damit kein Subunternehmer des Auftragnehmers i.S.d. Art. 28 Abs. 4 DSGVO und wird folgerichtig nicht in Anhang 3 geführt: er wird nicht vom Auftragnehmer, sondern vom Auftraggeber beauftragt. Die Garantien, die der Auftragnehmer nach § 7 für die von ihm beauftragten Anbieter vorhält, erstrecken sich auf diesen Zugang nicht.

Der Auftraggeber ist in diesem Fall selbst dafür verantwortlich,

mit dem von ihm gewählten Anbieter einen Vertrag nach Art. 28 DSGVO zu schließen;
bei einer Verarbeitung außerhalb der EU/des EWR eine Rechtsgrundlage nach Art. 44 ff. DSGVO sicherzustellen (Angemessenheitsbeschluss oder geeignete Garantien nach Art. 46 DSGVO nebst erforderlicher Transfer-Folgenabschätzung); und
die betroffenen Personen nach Art. 13/14 DSGVO über diese Verarbeitung zu informieren.

Der Auftragnehmer weist ausdrücklich darauf hin, dass das Hinterlegen eines eigenen Schlüssels das Schutzniveau nicht automatisch erhöht, sondern die vorstehenden Pflichten vom Auftragnehmer auf den Auftraggeber verlagert.

§ 7 Drittlandtransfer

(1) Die Speicherung personenbezogener Daten erfolgt ausschließlich in der EU/dem EWR. Eine Verarbeitung außerhalb der EU/des EWR findet nur bei den in Anhang 3 als Drittland gekennzeichneten Subunternehmern und nur unter den Bedingungen dieses Paragrafen statt.

Ob eine solche Übermittlung überhaupt stattfindet, hängt bei den KI- und Embedding-Funktionen von der Anbieterauswahl des Auftraggebers ab (§ 6 Abs. 6). Wählt er einen in Anhang 3 mit Sitz in den USA geführten Anbieter — dies ist die Voreinstellung —, löst jeder Aufruf einer solchen Funktion eine Übermittlung in ein Drittland aus; sie ist dann nicht die Ausnahme, sondern der Regelfall dieser Funktion. Wählt er den in Anhang 3 mit Sitz in der EU geführten Anbieter, so findet für diese Funktion keine Übermittlung des Auftragnehmers in ein Drittland statt; etwaige Weiterübermittlungen dieses Anbieters richten sich nach dessen eigenem Auftragsverarbeitungsvertrag (Anhang 3).

Unabhängig von dieser Auswahl wird die Wissensdatenbank der Hilfe-Funktion vom Auftragnehmer zentral und für alle Auftraggeber einheitlich mit Vektoren versehen; für die Suche in dieser Wissensdatenbank gilt daher stets der vom Auftragnehmer eingesetzte Embedding-Anbieter, unabhängig von der Auswahl des Auftraggebers. Anhang 3 weist diese Funktion gesondert aus.

(2) Für jede solche Übermittlung stellt der Auftragnehmer sicher, dass

entweder ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO vorliegt, oder
geeignete Garantien nach Art. 46 DSGVO bestehen, insbesondere durch Einbeziehung der EU-Standardvertragsklauseln 2021/914/EU in der jeweils aktuellen Fassung und im jeweils einschlägigen Modul — für Übermittlungen des Auftragnehmers an einen Subunternehmer regelmäßig Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter).

Stützt sich eine Übermittlung auf Art. 46 DSGVO, führt der Auftragnehmer hierzu eine Transfer-Folgenabschätzung (TIA) durch und hält sie zur Einsichtnahme nach § 8 bereit.

(3) Die im Einzelfall einschlägigen Garantien werden in Anhang 3 benannt. Hinterlegt der Auftraggeber einen eigenen Modell-Anbieter, gilt § 6 Abs. 6: die Garantien dieses Paragrafen erstrecken sich auf diesen Zugang nicht.

§ 8 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, die Einhaltung der Pflichten aus diesem Vertrag durch den Auftragnehmer zu kontrollieren. Die Kontrolle erfolgt grundsätzlich durch Einsicht in vom Auftragnehmer bereitgestellte Selbstauskünfte, Audit-Berichte oder Zertifikate (insbesondere ISO 27001, SOC 2, soweit vorhanden).

(2) Vor-Ort-Kontrollen sind nach vorheriger schriftlicher Ankündigung mit einer Frist von mindestens vier (4) Wochen während üblicher Geschäftszeiten zulässig, höchstens einmal pro Kalenderjahr, soweit nicht ein konkreter Anlass eine kurzfristigere Kontrolle erfordert. Der Auftraggeber trägt die ihm aus der Kontrolle entstehenden Kosten selbst.

(3) Der Auftragnehmer kann verlangen, dass der Auftraggeber bzw. der beauftragte Prüfer eine Vertraulichkeitsvereinbarung unterzeichnet und keine Informationen erhält, die Geschäftsgeheimnisse anderer Tenants oder die Sicherheit der Plattform gefährden würden.

§ 9 Haftung

Im Verhältnis der Parteien gilt Art. 82 DSGVO für die Haftung gegenüber betroffenen Personen sowie etwaige Aufsichtsbehörden. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrages (§ 10 der Plattform-AGB), soweit zwingendes Datenschutzrecht nicht entgegensteht.

§ 10 Beendigung

(1) Dieser Vertrag endet automatisch mit Beendigung des Hauptvertrages.

(2) Eine isolierte Kündigung dieses Vertrages ist ausgeschlossen, sofern nicht der Hauptvertrag selbst beendet wird.

(3) Die Pflicht zur Löschung bzw. Rückgabe der Daten nach § 4 Abs. 7 besteht über das Vertragsende hinaus fort.

§ 11 Sonstiges

(1) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform.

(2) Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt der Vertrag im Übrigen wirksam.

(3) Auf diesen Vertrag findet ausschließlich deutsches Recht Anwendung. Gerichtsstand ist Stuttgart.

Anhang 1 — Verarbeitungstätigkeiten

Zweck	Datenkategorie	Betroffene	Speicherdauer
Buchungsabwicklung	Stamm-, Kontakt-, Buchungs-, Zahlungsdaten	Endkunden / Gäste	Bis Vertragsende + ggf. zehn (10) Jahre nach § 147 AO bei Buchhaltungsbelegen
Storefront-Anzeige	Listing-Inhalte, Bilder	—	Vertragslaufzeit + 90 Tage Karenz
Zahlung über einen vom Auftraggeber beauftragten Zahlungsdienstleister (§ 6 Abs. 5)	Zahlungs- und Rückerstattungs-IDs, Sitzungsstatus, Betrag, Bezahllink	Endkunden / Gäste	Wie die zugehörige Buchung; Beleg- und Zahlungsnachweise ggf. zehn (10) Jahre nach § 147 AO
Anbindung der Händlerorganisation des Auftraggebers	Organisations- und Profil-ID, Verbindungsstatus, Berechtigungs-Momentaufnahme, Erneuerungs-Token (verschlüsselt)	Mitarbeiter und Beauftragte des Tenants	Bis zur Trennung der Verbindung oder Vertragsende
Eigentümer-Auszahlung	Name, Anschrift, Bankverbindung (verschlüsselt)	Eigentümer	Bis Vertragsende + zehn (10) Jahre nach AO
Operator-Konsole	Name, E-Mail, Rolle, Audit-Log	Tenant-Mitarbeiter	Bis Account-Löschung
Transaktionale E-Mails	E-Mail-Adressen, Inhalte	Endkunden, Eigentümer, Mitarbeiter	Sieben (7) Tage Mailserver-Log; Versand-Audit (Empfänger, Betreff, Zustellstatus) zwölf (12) Monate, danach automatisierte Löschung
Vorgehaltene E-Mails vor Freigabe	Vollständiger E-Mail-Inhalt	Endkunden, Eigentümer	Dreißig (30) Tage nach Freigabe oder Verwerfen, danach automatisierte Löschung
Betriebs- und Auftragsprotokolle	Verarbeitungs-Nutzlasten der Hintergrundjobs	Wie oben	Neunzig (90) Tage, danach automatisierte Löschung
Registrierungsanfragen	E-Mail, Firmenname, Kontaktname, IP-Adresse, Useragent	Interessenten	Nicht bestätigt: dreißig (30) Tage, danach Löschung. Bestätigt: IP-Adresse, Useragent und Kontaktname werden nach neunzig (90) Tagen entfernt
Server-Logs	IP-Adresse, Useragent, Request-Pfad	Alle Plattform-Nutzer	Dreißig (30) Tage
Meldescheine	Identitäts- und Ausweisdaten, Unterschrift	Endkunden / Gäste	Nach landesrechtlicher Meldepflicht, danach automatisierte Löschung
iCal-Synchronisation	Buchungs-Eckdaten	Endkunden	Solange aktive Sync-Verbindung besteht
Support / Fehleranalyse	Zugriff auf produktive Daten im Einzelfall	Wie oben	Tickets sechs (6) Monate, danach anonymisiert

Anhang 2 — Technische und organisatorische Maßnahmen (TOM)

Der Auftragnehmer ergreift insbesondere folgende Maßnahmen i.S.v. Art. 32 DSGVO. Die konkrete Ausgestaltung kann sich über die Zeit weiterentwickeln, das Schutzniveau bleibt mindestens gleichwertig.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle: Die produktive Verarbeitung erfolgt in ISO 27001-zertifizierten Rechenzentren des Subunternehmers Hetzner Online GmbH in der EU; physischer Zutritt nur autorisiertem Personal mit Mehrfaktor-Authentifizierung und protokolliertem Zutritt. Zusätzlich wird eine verschlüsselte Sicherungskopie an einem vom Rechenzentrumsbetreiber unabhängigen, gesonderten Standort in der Bundesrepublik Deutschland vorgehalten; der Zugriff ist auf den Auftragnehmer beschränkt und die Daten sind dort ausschließlich verschlüsselt gespeichert (siehe Ziff. 3 und Ziff. 5).
Zugangskontrolle: Single-Sign-On über Zitadel mit Mehrfaktor- Authentifizierung für Mitarbeiter-Zugänge; rollenbasierte Berechtigungen (RBAC); Sperrung nach Beendigung des Beschäftigungsverhältnisses.
Zugriffskontrolle (logisch): Mandantenisolation auf Datenbank- Ebene durch erzwungene PostgreSQL Row Level Security (RLS) auf allen mandantenbezogenen Tabellen, die personenbezogene Daten enthalten; der Mandanten-Kontext wird je Datenbank-Verbindung technisch verbindlich gesetzt; mandantenübergreifende Zugriffe erfolgen ausschließlich über einen gesondert zu aktivierenden System-Modus, der technisch von regulären Anfragen getrennt ist.
Pseudonymisierung / Verschlüsselung sensibler Felder: Kontakt- und Identitätsdaten von Endkunden bzw. Gästen (E-Mail, Telefon, Anschrift, Notizen sowie Meldescheindaten einschließlich Ausweisnummer und Unterschrift) sowie Bankverbindung und Steuer-ID von Eigentümern werden zusätzlich auf Feldebene mittels Hybrid-Verschlüsselung (Age, AES-256-GCM) verschlüsselt; Suchbarkeit über Blind-Index (HMAC-SHA256, Tenant-spezifischer Schlüssel). Name und Kontaktdaten von Eigentümern unterliegen keiner gesonderten Feldverschlüsselung. Die Zugangs-Token zu einer vom Auftraggeber angebundenen Händlerorganisation eines Zahlungsdienstleisters (§ 6 Abs. 5) werden mit demselben Verfahren über einen Tenant-spezifischen Schlüssel verschlüsselt gespeichert und bei jeder Erneuerung ersetzt.
Trennungskontrolle: Strikte Mandantentrennung auf Anwendungs- und Datenbankebene; getrennte Bucket-Präfixe pro Tenant für Object-Storage; produktive Daten nicht in Test- / Staging-Umgebungen.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Eingabekontrolle: Änderungen an Buchungen und Zahlungen, Nachrichtenverkehr, KI-gestützte Aktionen, Hintergrund-Jobs sowie Vertragsannahmen werden in fachlichen Audit-Logs (Wer, Wann, Was) protokolliert. Eine lückenlose Protokollierung sämtlicher Schreibzugriffe auf alle produktiven Tabellen besteht nicht.
Weitergabekontrolle: Transportverschlüsselung TLS ≥ 1.2 für alle extern erreichbaren Endpunkte; die Kommunikation zwischen den Diensten erfolgt innerhalb eines privaten, von außen nicht erreichbaren Cluster-Netzwerks.
Auftragskontrolle: Subunternehmer werden formell nach Art. 28 Abs. 4 DSGVO verpflichtet; siehe Anhang 3.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

Tägliche Datenbank-Backups in zwei Verfahren (physisches Backup mit fortlaufender Transaktionsprotokollierung sowie logischer Tagesexport), gespeichert in verschlüsseltem Object-Storage in der EU.
Zusätzlich eine verschlüsselte Off-Site-Kopie der Backups und der hochgeladenen Dateien an einem gesonderten, vom Auftragnehmer kontrollierten Standort; die Übertragung erfolgt ausschließlich vom Sicherungssystem aus, so dass eine Kompromittierung der Produktiv- umgebung keinen Zugriff auf die Sicherungskopie eröffnet.
Wiederherstellungs-Tests mindestens einmal pro Quartal anhand einer dokumentierten Wiederherstellungsprobe.
Automatisierte Überwachung kritischer Systemmetriken mit Alarmierung.
Disaster-Recovery-Plan dokumentiert.

4. Verfahren regelmäßiger Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

Datenschutz-Schulung der Mitarbeiter mindestens jährlich.
Penetrationstests bei wesentlichen Architekturänderungen, mindestens einmal jährlich.
Software-Abhängigkeiten werden über automatisierte Schwachstellen- Scans überwacht; sicherheitsrelevante Updates werden zeitnah eingespielt.
Datenschutz-Folgenabschätzung erfolgt für neue Verarbeitungs- vorhaben mit potenziell hohem Risiko.

5. Datenminimierung und Löschkonzept

Server-Logs enthalten keine Request-Bodies. Sie werden nach dreißig (30) Tagen automatisiert und vollständig gelöscht.
Die in Anhang 1 genannten Speicherdauern für Versand-Audit, vorgehaltene E-Mails, Betriebs- und Auftragsprotokolle sowie Registrierungsanfragen werden durch einen täglich laufenden, automatisierten Löschlauf durchgesetzt. Der Löschlauf protokolliert ausschließlich Anzahlen, keine Inhalte.
Bei Uploads erhobene technische Verkehrsdaten (IP-Adresse, Useragent) werden nach zwölf (12) Monaten automatisiert entfernt; der hochladende Benutzer bleibt für Melde- und Abhilfeverfahren zuordenbar.
Buchungsdaten werden nach Vertragsende gemäß § 4 Abs. 7 dieses Vertrages innerhalb von 90 Tagen gelöscht; abweichend für buchhalterisch relevante Daten gemäß §§ 147 AO, 257 HGB.
Backup-Daten unterliegen einer gestuften Aufbewahrung: physische Backups werden nach dreißig (30) Tagen gelöscht, logische Tagesexporte nach vierzehn (14) Tagen. Die verschlüsselte Off-Site-Sicherung (Ziff. 3) wird in Tages-, Wochen- und Monatsständen bis zu vierundzwanzig (24) Monate vorgehalten; sie dient ausschließlich der Wiederherstellung im Katastrophenfall und wird nicht für den laufenden Betrieb ausgewertet.
Aus der Off-Site-Sicherung werden personenbezogene Daten nicht einzeln gelöscht; sie laufen mit dem jeweiligen Sicherungsstand aus. Löschansprüche nach § 4 Abs. 7 und Art. 17 DSGVO werden im Produktivbestand unverzüglich umgesetzt.

Anhang 3 — Genehmigte Subunternehmer

Stand 2026-08-21. Eine jeweils aktuelle Fassung wird auf Anforderung bereitgestellt.

Subunternehmer	Sitz / Rechenzentrum	Zweck	Garantien Drittland
Hetzner Online GmbH	Deutschland (EU)	Hosting und Compute (k3s-Cluster), Object-Storage (Listing-Bilder, Dokumente, Anhänge), Datenbank-Backups, Betrieb der selbst-gehosteten Identitätsverwaltung (Zitadel)	— (EU)
Brevo (Sendinblue SAS)	Frankreich (EU)	Versand transaktionaler E-Mails, Zustell- und Bounce-Tracking	— (EU)
Anthropic PBC	USA	KI-gestützte Content-Generierung und KI-Assistenzfunktionen der Operator-Konsole. Diese Funktionen stehen jedem Auftraggeber zur Verfügung und werden über einen Zugang des Auftragnehmers erbracht, soweit der Auftraggeber keinen eigenen Modell-Anbieter hinterlegt (§ 6 Abs. 6). Voreingestellter Anbieter; entfällt für Auftraggeber, die den EU-Anbieter auswählen. Eine Übermittlung erfolgt nur, wenn der Auftraggeber eine solche Funktion aufruft.	EU-Standardvertragsklauseln 2021/914/EU, Modul 3, einbezogen über das Data Processing Addendum des Anbieters; TIA nach § 7 Abs. 2
Anthropic PBC	USA	KI-gestützte Beantwortung eingehender Gast-Nachrichten. Diese Funktion ist standardmäßig deaktiviert und wird ausschließlich nach ausdrücklicher Aktivierung durch den Auftraggeber wirksam.	wie vorstehend; zusätzlich nur bei expliziter Aktivierung
Mistral AI SAS	Frankreich (EU)	Dieselben KI-Funktionen wie vorstehend, sofern der Auftraggeber diesen Anbieter in der Operator-Konsole auswählt (§ 6 Abs. 6). Die Verarbeitung erfolgt über einen Zugang des Auftragnehmers; eine Übermittlung erfolgt nur, wenn der Auftraggeber eine solche Funktion aufruft.	— (EU-Sitz; keine Drittlandübermittlung des Auftragnehmers). Weiterübermittlungen des Anbieters richten sich nach dessen Data Processing Addendum nebst der dort einbezogenen EU-Standardvertragsklauseln
OpenAI, L.L.C.	USA	Erzeugung von Embeddings für die semantische Suche; wird über einen Zugang des Auftragnehmers erbracht. Voreingestellter Anbieter; entfällt für Auftraggeber, die den EU-Anbieter auswählen.	EU-Standardvertragsklauseln 2021/914/EU nach Maßgabe des Data Processing Addendum des Anbieters; TIA nach § 7 Abs. 2
Mistral AI SAS	Frankreich (EU)	Erzeugung von Embeddings für die semantische Suche, sofern der Auftraggeber diesen Anbieter auswählt	— (EU-Sitz); im Übrigen wie vorstehende Mistral-Zeile
OpenAI, L.L.C. oder Mistral AI SAS	USA bzw. Frankreich (EU)	Erzeugung von Embeddings für die Hilfe-Suche. Diese Wissensdatenbank betrifft die Plattform selbst, wird zentral für alle Auftraggeber erzeugt und ist deshalb nicht durch den Auftraggeber auswählbar; maßgeblich ist der vom Auftragnehmer eingesetzte Anbieter (§ 7 Abs. 1 letzter Absatz). Übermittelt wird die jeweilige Suchanfrage.	Bei Einsatz eines US-Anbieters: wie vorstehende OpenAI-Zeile. Bei Einsatz des EU-Anbieters: keine Drittlandübermittlung

Nutzt der Auftraggeber die datenbankgestützte Dateispeicherung statt eines externen Object-Storage, werden Bilder und Dokumente innerhalb der von Hetzner betriebenen Datenbank gespeichert; ein gesonderter Object-Storage-Subunternehmer entfällt in diesem Fall.

Kein Zahlungsdienstleister in dieser Liste — und warum nicht. Bindet der Auftraggeber für Endkundenzahlungen einen Zahlungsdienstleister an, so beauftragt er diesen selbst; das Vertragsverhältnis besteht zwischen dem Auftraggeber und dem Zahlungsdienstleister, und die Gelder erreichen zu keinem Zeitpunkt ein Konto des Auftragnehmers. Ein solcher Anbieter ist deshalb kein Subunternehmer des Auftragnehmers und gehört nicht in diese Liste; die Einzelheiten regelt § 6 Abs. 5. Diese Anmerkung steht hier, weil das Fehlen wie ein Versehen aussieht und zu einer gut gemeinten Ergänzung einlädt: eine solche Zeile würde das Verhältnis falsch beschreiben und — da dieser Vertrag zur Annahme durch den Auftraggeber gehasht wird — eine Versionierung und erneute Annahme für eine unzutreffende Aussage kosten.

Für die Abrechnung der eigenen Leistungen des Auftragnehmers gegenüber dem Auftraggeber (kostenpflichtige Tarife) setzt der Auftragnehmer ebenfalls einen Zahlungsdienstleister ein. Auch dieser ist kein Subunternehmer i.S.d. Art. 28 DSGVO, weil es sich dabei nicht um eine Verarbeitung im Auftrag des Auftraggebers handelt, sondern um eine eigene Verarbeitung des Auftragnehmers als Verantwortlicher; sie ist in dessen Datenschutzerklärung beschrieben.

Zwei Anbieter für dieselbe Funktion — und warum. Für die KI- und Embedding-Funktionen führt diese Liste je einen Anbieter mit Sitz in den USA und einen mit Sitz in der EU. Beide werden über einen Zugang des Auftragnehmers erbracht; welcher von beiden für einen Auftraggeber tätig wird, entscheidet dessen Auswahl in der Operator-Konsole (§ 6 Abs. 6). Die Doppelung ist damit keine Redundanz, sondern der Kern der Regelung: Sie ist der Grund, weshalb ein Auftraggeber eine Verarbeitung ohne Drittlandübermittlung erreichen kann, ohne hierfür einen eigenen Schlüssel zu hinterlegen und damit die Pflichten des § 6 Abs. 6 zu übernehmen. Genehmigt sind beide; welcher tätig wird, bestimmt der Auftraggeber.

Kein vom Auftraggeber selbst beauftragter Modell-Anbieter in dieser Liste — und warum nicht. Hinterlegt der Auftraggeber einen eigenen Modell-Anbieter und API-Schlüssel, laufen seine KI-Anfragen nicht mehr über den hier geführten Zugang des Auftragnehmers, sondern über den des Auftraggebers. Der so beauftragte Anbieter ist deshalb kein Subunternehmer des Auftragnehmers und gehört nicht in diese Liste; die Einzelheiten und die daraus folgenden Pflichten des Auftraggebers regelt § 6 Abs. 6. Diese Anmerkung steht hier aus demselben Grund wie die vorstehende: das Fehlen sieht wie ein Versehen aus und lädt zu einer gut gemeinten Ergänzung ein — eine solche Zeile würde das Verhältnis falsch beschreiben und, da dieser Vertrag zur Annahme durch den Auftraggeber gehasht wird, eine Versionierung und erneute Annahme für eine unzutreffende Aussage kosten.

Verwandte Dokumente: Plattform-AGB · Datenschutzerklärung · Notice-and-Action