Vereinbarung zur Auftragsverarbeitung für STRYK.

1. Gegenstand und Rollen

Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die personenbezogenen Daten, die er oder seine Nutzer in STRYK verarbeiten („Auftragsdaten“). Nextpulse verarbeitet Auftragsdaten als Auftragsverarbeiter.

Gegenstand der Verarbeitung ist die Bereitstellung, der Betrieb, die Wartung, die Sicherung und der Support von STRYK nach dem Hauptvertrag einschließlich Testverträgen.

Für eigene Zwecke – Vertragsverwaltung, Abrechnung, Identitätskonten bei Nextpulse ID, Sicherheit der Plattform, Missbrauchsabwehr und Rechtsverfolgung – handelt Nextpulse als eigener Verantwortlicher; diese Verarbeitungen beschreibt die Datenschutzerklärung.

2. Dauer

Die Vereinbarung gilt für die Dauer des Hauptvertrags einschließlich des Übergangs- und Abrufzeitraums nach Vertragsende und darüber hinaus, solange Nextpulse Auftragsdaten verarbeitet, bis zu deren Löschung nach Ziffer 14.

3. Art und Zweck der Verarbeitung

Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Anpassen, Abfragen, Verwenden, Übermitteln an vom Kunden ausgewählte Empfänger, Abgleichen, Einschränken, Sichern, Wiederherstellen und Löschen. Zweck ist die Erbringung der vom Kunden genutzten Funktionen, insbesondere:

• Hotelverwaltung: Reservierungen, Zimmer, Belegung, Housekeeping, Gästeprofile, Rechnungen, Zahlungsstatus, Finanzbuchungen, Auswertungen und Mitarbeiterorganisation;
• Booking Engine, Gästewebsite, Online-Check-in, Gästeportal und Kiosk einschließlich Erfassung von Melde- und Ausweisdaten, soweit der Kunde diese Funktionen aktiviert;
• Gästekommunikation per E-Mail und in weiteren Kanälen, einschließlich KI-gestützter Analyse, Antwortvorschläge und automatisierter Antworten, soweit aktiviert;
• Verteilung von Verfügbarkeiten, Preisen und Reservierungen über den Channel Manager, soweit aktiviert;
• Anbindung von Zahlungs-, Kassen-, Bank- und sonstigen Systemen, soweit der Kunde sie aktiviert;
• Datenübernahme aus Vorsystemen, Fehleranalyse, Support und Sicherheitsmaßnahmen, soweit für die Leistung erforderlich.

4. Betroffene Personen und Datenkategorien

• Gäste, Mitreisende, Buchende und Interessenten: Identitäts- und Kontaktdaten, Aufenthalts- und Buchungsdaten, Präferenzen, Kommunikationsinhalte, Rechnungs- und Zahlungsstatusdaten, Melde- und Gästeverzeichnisdaten.
• Ausweisdaten: Angaben aus Reisedokumenten und Abbildungen von Ausweisdokumenten, soweit der Kunde die entsprechende Funktion nutzt.
• Mitarbeiter und Nutzer des Kunden: Name, Kontaktdaten, Rolle, Dienst- und Aufgabenzuweisung, Aktivitäts- und Zugriffsprotokolle.
• Geschäftskontakte, Firmenkunden, Lieferanten und Partner: Stamm-, Kontakt-, Vertrags- und Abrechnungsdaten.
• Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO, etwa Gesundheitsangaben in Gästewünschen, nur wenn der Kunde entscheidet, solche Daten zu erfassen, und hierfür eine Rechtsgrundlage besitzt.
• Nicht verarbeitet werden vollständige Kartennummern, Kartenprüfziffern und Online-Banking-Zugangsdaten; Zahlungsmittel verarbeitet der Zahlungsdienstleister des Kunden.

5. Weisungen

Nextpulse verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Kunden, auch hinsichtlich der Übermittlung in Drittländer, sofern Nextpulse nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall teilt Nextpulse dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

Hauptvertrag, diese Vereinbarung und die Konfiguration und Nutzung der Funktionen durch den Kunden stellen die Weisungen dar. Einzelweisungen erfolgen in Textform.

Ist Nextpulse der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert Nextpulse den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

6. Vertraulichkeit

Nextpulse gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriffe auf Auftragsdaten erfolgen nur, soweit sie für Betrieb, Sicherheit oder Support erforderlich sind. Ändernde Supportmaßnahmen in der Plattformverwaltung werden mit Begründung protokolliert.

7. Sicherheit der Verarbeitung

Nextpulse trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Ziffer 17 beschrieben. Nextpulse darf die Maßnahmen an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

8. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung zur Beauftragung der in der Liste der Unterauftragsverarbeiter genannten Unternehmen. Nextpulse informiert den Kunden mindestens 30 Tage vor der Beauftragung eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform.

Der Kunde kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Die Parteien bemühen sich um eine einvernehmliche Lösung. Gelingt dies nicht, kann der Kunde den betroffenen Vertrag oder Vertragsteil zum Zeitpunkt des Einsatzes kündigen; im Voraus bezahlte Entgelte für die Zeit danach werden anteilig erstattet.

Ist ein Austausch zur Abwehr einer akuten Sicherheits- oder Verfügbarkeitsgefahr kurzfristig erforderlich, informiert Nextpulse unverzüglich nachträglich; das Widerspruchs- und Kündigungsrecht gilt entsprechend.

Nextpulse erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in dieser Vereinbarung festgelegt sind, und haftet gegenüber dem Kunden für deren Einhaltung.

9. Rechte betroffener Personen

Nextpulse unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen, vorrangig durch die in STRYK verfügbaren Funktionen, insbesondere zur Berichtigung, zum Export von Daten sowie zur Löschung oder Anonymisierung von Gästeprofilen. Reichen diese Funktionen für einen Antrag nicht aus, stellt Nextpulse die im Auftrag verarbeiteten Daten der betroffenen Person auf Anforderung des Kunden innerhalb von zehn Werktagen in einem gängigen maschinenlesbaren Format bereit beziehungsweise löscht sie. Wendet sich eine betroffene Person direkt an Nextpulse, leitet Nextpulse die Anfrage innerhalb von fünf Werktagen an den Kunden weiter und beantwortet sie nicht selbst, sofern keine gesetzliche Pflicht besteht.

10. Unterstützung bei Sicherheit, Folgenabschätzung und Konsultation

Nextpulse unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere durch Informationen für eine Datenschutz-Folgenabschätzung und bei vorherigen Konsultationen der Aufsichtsbehörde.

Unterstützungsleistungen, die über die Bereitstellung vorhandener Informationen und Funktionen hinausgehen und nicht durch einen Verstoß von Nextpulse veranlasst sind, kann Nextpulse nach vorheriger Information zu angemessenen Sätzen verrechnen.

11. Verletzungen des Schutzes personenbezogener Daten

Nextpulse meldet dem Kunden eine Verletzung des Schutzes von Auftragsdaten unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem Nextpulse von ihr Kenntnis erlangt hat. Die Meldung erfolgt an die vom Kunden hinterlegte Kontaktadresse.

Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, der Kategorien und ungefähren Zahl der betroffenen Personen und Datensätze, der wahrscheinlichen Folgen und der ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Kontaktstelle. Noch nicht verfügbare Informationen werden unverzüglich nachgereicht.

Die Entscheidung über Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen trifft der Kunde. Eine Meldung ist kein Anerkenntnis einer Pflichtverletzung.

12. Verarbeitungsorte und Drittlandübermittlungen

Auftragsdaten werden vorrangig in der Europäischen Union oder im Europäischen Wirtschaftsraum verarbeitet. Einzelne Unterauftragsverarbeiter verarbeiten Daten auch in Drittländern, insbesondere in den Vereinigten Staaten; die Liste der Unterauftragsverarbeiter nennt Ort und Übermittlungsgrundlage je Anbieter.

Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses wie des EU-US Data Privacy Framework bei zertifizierten Empfängern oder der Standardvertragsklauseln der Europäischen Kommission einschließlich erforderlicher zusätzlicher Maßnahmen. Wo ein Angemessenheitsbeschluss genutzt wird, vereinbart Nextpulse, soweit möglich, Standardvertragsklauseln als ergänzende Grundlage.

13. Nachweise und Kontrollen

Nextpulse stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen und verfügbare Nachweise der Unterauftragsverarbeiter.

Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber von Nextpulse ist, kann Überprüfungen einschließlich Inspektionen durchführen. Regelmäßige Überprüfungen finden höchstens einmal jährlich mit einer Vorankündigung von mindestens 30 Tagen statt. Bei einer Verletzung des Schutzes von Auftragsdaten, einer Anordnung der Aufsichtsbehörde oder konkreten Anhaltspunkten für einen Verstoß sind zusätzliche Überprüfungen mit angemessener Vorankündigung zulässig.

Überprüfungen erfolgen während der Geschäftszeiten ohne unverhältnismäßige Störung des Betriebs und unter Wahrung der Vertraulichkeit der Daten anderer Kunden. Der Kunde trägt seine Kosten; ergibt die Überprüfung einen wesentlichen Verstoß von Nextpulse, trägt Nextpulse die angemessenen Kosten.

14. Rückgabe und Löschung

Während der Vertragslaufzeit kann der Kunde Auftragsdaten über die verfügbaren Exportfunktionen abrufen. Nach Vertragsende hält Nextpulse die Auftragsdaten während des Übergangs- und Abrufzeitraums nach den B2B-SaaS-AGB zur Rückgabe bereit; soweit der Zugang zu STRYK nicht mehr besteht, stellt Nextpulse auf Anforderung einen Export bereit.

Nach Ablauf des Abrufzeitraums löscht Nextpulse die Auftragsdaten unverzüglich, spätestens innerhalb von 90 Tagen, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats Nextpulse selbst zur Speicherung verpflichtet. Besteht eine solche Pflicht, sperrt Nextpulse die betroffenen Daten und verarbeitet sie nur noch zu diesem Zweck. Datensicherungen werden im regulären Sicherungszyklus überschrieben, spätestens nach 90 Tagen, und bis dahin nicht mehr für den laufenden Betrieb verwendet. Auf Anforderung bestätigt Nextpulse die Löschung in Textform.

Gesetzliche Aufbewahrungspflichten des Kunden, etwa nach BAO, UGB oder Meldegesetz, treffen den Kunden; er erfüllt sie auf Grundlage der Rückgabe beziehungsweise der Exporte. Nextpulse bewahrt Auftragsdaten nach Vertragsende nicht für den Kunden auf, es sei denn, der Kunde beauftragt dies ausdrücklich gesondert als eigene Leistung mit festgelegter Dauer. Eigene Vertrags-, Abrechnungs- und Nachweisdaten von Nextpulse sind keine Auftragsdaten.

15. Anonymisierte Daten

Nextpulse darf Auftragsdaten anonymisieren, soweit dies zur Bereitstellung, Absicherung und Verbesserung von STRYK erforderlich ist, und die anonymisierten Daten ohne Rückschluss auf natürliche Personen oder den einzelnen Kunden nutzen. Auftragsdaten werden nicht zum Training von KI-Modellen verwendet.

16. Vorrang und Haftung

Für Fragen des Datenschutzes geht diese Vereinbarung den übrigen Vertragsdokumenten vor, ausgenommen individuelle Regelungen, die ausdrücklich auf eine bestimmte Regelung dieser Vereinbarung Bezug nehmen; eine Abweichung von Art. 28 DSGVO zulasten des Kunden wird nicht vereinbart.

Zwingende Haftung nach der DSGVO wird nicht ausgeschlossen oder beschränkt. Im Verhältnis zwischen den Parteien richtet sich der Ausgleich nach Art. 82 Abs. 5 DSGVO; dafür und im Übrigen gelten die Haftungsbestimmungen der B2B-SaaS-AGB einschließlich ihrer Begrenzungen bei leichter Fahrlässigkeit.

17. Anhang: Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen beschreiben den aktuellen Stand. Sie werden regelmäßig überprüft und weiterentwickelt.

• Mandantentrennung: Daten jedes Kunden sind mandantenbezogen gekennzeichnet; die Datenbank erzwingt die Trennung zusätzlich zur Anwendungslogik durch Zeilensicherheitsrichtlinien (Row Level Security), die für die Anwendungsrolle nicht umgangen werden können.
• Zugangskontrolle: Anmeldung von Nutzern über Nextpulse ID mit OpenID Connect; Unterstützung eines zweiten Faktors; für sensible administrative Aktionen der Plattformverwaltung ist eine frische Anmeldung mit zweitem Faktor erforderlich. Gerätekonten für Kiosk-Funktionen sind auf den jeweiligen Betrieb beschränkt.
• Zugriffskontrolle: rollenbasierte Berechtigungen nach dem Erforderlichkeitsprinzip mit serverseitiger Prüfung jeder Anfrage; nicht zugeordnete Zugriffe werden abgewiesen. Supportmaßnahmen erfolgen über die Plattformverwaltung; ändernde Maßnahmen erfordern eine Begründung und werden protokolliert.
• Übertragungskontrolle: Zugriffe auf STRYK über das Internet erfolgen ausschließlich verschlüsselt mit TLS. E-Mails werden transportverschlüsselt übermittelt, soweit der empfangende Server dies unterstützt. Zugangsgeheimnisse für angebundene Drittsysteme werden verschlüsselt gespeichert.
• Verschlüsselung ruhender Daten: Datensicherungen werden verschlüsselt abgelegt. Für besonders schutzbedürftige Inhalte wie Abbildungen von Ausweisdokumenten empfiehlt Nextpulse, die Erfassung auf das gesetzlich Erforderliche zu beschränken und Löschfristen festzulegen.
• Löschfristen: Für Daten aus dem Online-Check-in einschließlich erfasster Ausweisdaten kann der Kunde in STRYK eine Löschfrist festlegen. Sie ist standardmäßig nicht aktiviert; die Festlegung von Löschfristen obliegt dem Kunden als Verantwortlichem.
• Uploads: hochgeladene Dateien werden vor der Verarbeitung auf Schadsoftware geprüft.
• Eingabekontrolle und Protokollierung: Protokollierung sicherheits- und fachrelevanter Vorgänge; Protokolle enthalten keine Passwörter, Tokens oder Zugangsgeheimnisse.
• Verfügbarkeitskontrolle: tägliche Datensicherungen, die verschlüsselt an einem vom Produktionsbetrieb getrennten Speicherort abgelegt werden; dokumentierte Wiederherstellungsverfahren; Begrenzung anonymer Abfragen gegen Überlastung und Missbrauch.
• Trennungskontrolle: Trennung von Entwicklungs-, Test- und Produktionsumgebungen; keine produktiven Zugangsdaten im Quellcode.
• Organisatorische Maßnahmen: Verpflichtung auf Vertraulichkeit, Beschränkung administrativer Zugänge auf berechtigte Personen, Verfahren für Sicherheitsaktualisierungen und für die Behandlung von Sicherheitsvorfällen.