Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Gegenstand, Geltungsbereich und Verhältnis zu den Allgemeinen Geschäftsbedingungen

Die vorliegende Vereinbarung über die Verarbeitung personenbezogener Daten (die „Vereinbarung“) wird geschlossen zwischen:

• der natürlichen oder juristischen Person, die im Rahmen ihrer gewerblichen oder beruflichen Tätigkeit ein Hotel, ein Gästehaus oder eine sonstige Beherbergungsstätte betreibt und für diese ein Profil in SayFIXED anlegt, nachstehend „das Hotel“ oder „der Verantwortliche“ genannt; und
• der Web Trade EOOD, EIK 175311817, USt-IdNr. BG175311817, mit Sitz und Geschäftsanschrift: Sofia, Wohnkomplex „Druschba“, Block 84, Wohnung 34, Büro: Sofia, ul. „Slatinska“ Nr. 101A, E-Mail: office@say-fixed.com, Telefon: +359 2 488 17 34, nachstehend „der Anbieter“ oder „der Auftragsverarbeiter“ genannt.

Das Hotel und der Anbieter werden gemeinsam als „die Parteien“ bezeichnet.

Die Person, die das Profil des Hotels anlegt und die Vereinbarung annimmt, bestätigt, dass sie volljährig ist, im Namen des Verantwortlichen handelt und berechtigt ist, diesen zu verpflichten. Die Angaben, mit denen der Verantwortliche bei der Erstellung des Profils identifiziert wurde, werden vor der Aktivierung eines kostenpflichtigen Tarifs um die vollständigen Vertrags- und Rechnungsdaten ergänzt, ohne dass sich dadurch der Zeitpunkt des Inkrafttretens der Vereinbarung ändert.

1.1. Die Vereinbarung regelt die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Hotels im Rahmen der Bereitstellung von SayFIXED und stellt einen Vertrag im Sinne von Artikel 28 Absätze 3 und 9 der Verordnung (EU) 2016/679 („DSGVO“) dar.

1.2. Die Vereinbarung gilt für die Daten in den Meldungen, den Fotos, den Kontaktangaben für Rückmeldungen, den Profilen der Nutzer des Hotels sowie für die sonstigen Daten, die das Hotel und seine Nutzer bei der Nutzung der Plattform eingeben oder erzeugen, soweit der Anbieter diese zu den vom Hotel festgelegten Zwecken verarbeitet.

1.3. Für die Daten, die der Anbieter als eigenständiger Verantwortlicher verarbeitet — einschließlich der Daten aus dem öffentlichen Anfrageformular, der Vertrags- und Rechnungskommunikation, der Nachweise über die Annahme sowie der eigenen Sicherheitsprotokolle — gelten die Datenschutzerklärung und das anwendbare Recht und nicht die vorliegende Vereinbarung.

1.4. Die Vereinbarung ist untrennbarer Bestandteil des Vertrages über SayFIXED und wird gemeinsam mit den Allgemeinen Geschäftsbedingungen angenommen. Im Falle eines Widerspruchs in einer Frage, die die Verarbeitung personenbezogener Daten im Auftrag des Hotels betrifft, hat die vorliegende Vereinbarung Vorrang vor den Allgemeinen Geschäftsbedingungen. Im Falle eines Widerspruchs zu einer zwingenden Bestimmung des anwendbaren Rechts gilt das Gesetz.

1.5. Die Daten werden nicht Eigentum des Anbieters. Das Hotel behält die Kontrolle über die Daten und bestimmt die Zwecke, die Rechtsgrundlagen, die zulässigen Zugriffsrechte und die Speicherfristen, soweit die Plattform dies unterstützt und das Gesetz es zulässt.

Rollen und dokumentierte Weisungen

2.1. Für die Verarbeitung nach der vorliegenden Vereinbarung ist das Hotel Verantwortlicher und der Anbieter Auftragsverarbeiter.

2.2. Der Anbieter verarbeitet die personenbezogenen Daten ausschließlich:

• zur Bereitstellung, Wartung, Absicherung und technischen Gewährleistung von SayFIXED;
• gemäß der vorliegenden Vereinbarung, den Allgemeinen Geschäftsbedingungen, den Einstellungen im Profil und sonstigen dokumentierten Weisungen des Hotels;
• soweit dies nach dem anwendbaren Recht erforderlich ist, wobei er das Hotel vor der Verarbeitung über die rechtliche Anforderung unterrichtet, sofern das Gesetz eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

2.3. Als dokumentierte Weisungen gelten auch die Handlungen ordnungsgemäß bevollmächtigter Administratoren des Hotels über die Einstellungen der Plattform sowie schriftliche Ersuchen, die nach angemessener Authentifizierung über die bekannt gegebenen Supportkanäle übermittelt werden.

2.4. Ist der Anbieter der Auffassung, dass eine Weisung des Hotels gegen die DSGVO oder gegen sonstiges anwendbares Datenschutzrecht verstößt, so unterrichtet er das Hotel unverzüglich und kann die Ausführung der betreffenden Weisung bis zu deren Bestätigung, Änderung oder Widerruf aussetzen.

2.5. Der Anbieter ist nicht berechtigt, die Daten des Hotels für eigene Marketingzwecke, für den Verkauf von Daten, für die Erstellung von Nutzerprofilen zu fremden Zwecken oder für das Training von Modellen mit allgemeiner Zweckbestimmung zu verwenden, es sei denn, es besteht eine gesonderte, rechtmäßige und ausdrückliche schriftliche Vereinbarung.

Art, Zweck und Dauer der Verarbeitung

3.1. Gegenstand der Verarbeitung sind die Daten im Zusammenhang mit den Meldungen über Mängel im Objekt des Hotels. Die Art der Verarbeitung umfasst die Speicherung, Strukturierung, Anzeige gegenüber den berechtigten Nutzern, Übermittlung im Rahmen der zulässigen Zugriffsrechte, das Auslesen, die Archivierung und die Löschung. Die Zwecke sind die Entgegennahme und Bearbeitung der Meldungen, die Benachrichtigung, die Verwaltung von Profilen und Berechtigungen, Auswertungen und Datenexporte sowie die Wartung und Absicherung des Dienstes.

Die Kategorien betroffener Personen sind: Gäste, die eine Meldung abgeben oder in einer solchen genannt werden; Nutzer des Hotels; Kontakt- und bevollmächtigte Personen des Hotels; Personen, die zufällig auf einem Foto oder in einem Freitext erscheinen können.

Die Arten personenbezogener Daten sind: die Beschreibung der Meldung sowie die damit verbundenen Orts- und Zeitangaben; freiwillig angegebene Kontaktdaten eines Gastes; beigefügte Fotos; Daten zu den Profilen der Nutzer des Hotels; technische Daten, die für Authentifizierung, Sicherheit und Rechenschaftspflicht erforderlich sind.

Der Dienst ist nicht für die gezielte Verarbeitung besonderer Kategorien personenbezogener Daten nach Artikel 9 DSGVO, von Gesundheitsdaten, Ausweisdokumenten, Zahlungsdaten oder Daten über strafrechtliche Verurteilungen und Straftaten bestimmt.

3.2. Die Verarbeitung beginnt mit der erfolgreichen Erstellung des Profils des Hotels und der Annahme der vorliegenden Vereinbarung. Sie dauert an, solange der Anbieter den Dienst bereitstellt, sowie während des vereinbarten Zeitraums für den reinen Lesezugriff, den Export und die anschließende Löschung.

3.3. Nach Ablauf des Test- oder des kostenpflichtigen Zeitraums wird bei Fehlen eines aktiven kostenpflichtigen Tarifs die Abgabe neuer Meldungen am Tag des Ablaufs eingestellt, während die Nutzer des Hotels für weitere 14 Kalendertage Zugang zur Ansicht und zum Export behalten. Nach Ablauf dieser Frist wird der Zugang zur Plattform beendet. Die Daten des Hotels werden aufbewahrt und nicht automatisch gelöscht; die Löschung erfolgt auf Verlangen des Hotels innerhalb von 30 Kalendertagen oder nach Maßgabe von Abschnitt 5 der Allgemeinen Geschäftsbedingungen.

3.4. Die Löschung erfasst das aktive System. Kopien können in den Sicherungsarchiven verbleiben, bis sie im Rahmen des üblichen Sicherungszyklus entfallen. Wird eine Sicherungskopie zur Notfallwiederherstellung wiederhergestellt, so finden die anwendbaren Regeln zur Zugangsbeschränkung und zur Löschung erneut Anwendung.

Pflichten des Hotels als Verantwortlicher

4.1. Das Hotel:

• bestimmt die Zwecke und Mittel der Verarbeitung und trägt die Verantwortung für deren Rechtmäßigkeit;
• stellt eine anwendbare Rechtsgrundlage sicher und erteilt den Gästen, den Mitarbeitern und den sonstigen betroffenen Personen die erforderlichen Informationen;
• legt angemessene Speicherfristen und Zugriffsrechte fest;
• erteilt ausschließlich rechtmäßige, konkrete und vernünftigerweise erfüllbare Weisungen;
• gewährleistet, dass die Personen, die sein Administratorprofil nutzen, ordnungsgemäß bevollmächtigt sind;
• verlangt oder fördert nicht die Eingabe von Daten, die für die Verwaltung der Meldungen nicht erforderlich sind;
• nutzt SayFIXED nicht als System für Notrufe, medizinische Hilfe, Bewachung oder sonstige lebensrettende Tätigkeiten;
• unterrichtet den Anbieter rechtzeitig über fehlerhafte Einstellungen, unbefugten Zugriff oder sonstige Umstände, die die Sicherheit der Daten beeinträchtigen können.

4.2. Das Hotel darf besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO, Daten über strafrechtliche Verurteilungen und Straftaten, Ausweisdokumente, Zahlungsdaten oder Gesundheitsdaten weder wissentlich eingeben noch deren Eingabe anweisen. Werden solche Daten unbeabsichtigt in einem Freitext oder auf einem Foto eingegeben, so hat das Hotel sie unverzüglich zu prüfen und zu löschen; der Anbieter leistet dabei angemessene technische Unterstützung.

4.3. Das Hotel trägt die Verantwortung für die Beurteilung, ob und in welchem Umfang Namen, Telefonnummern, E-Mail-Adressen, Fotos, Freitexte und interne Kommentare für den jeweiligen Zweck erforderlich sind.

Pflichten des Anbieters als Auftragsverarbeiter

5.1. Der Anbieter:

• verarbeitet die Daten ausschließlich auf dokumentierte Weisung und ausschließlich zu den vereinbarten Zwecken;
• gewährleistet, dass sich die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• trifft geeignete technische und organisatorische Maßnahmen nach Artikel 32 DSGVO;
• beachtet die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter nach Abschnitt 9;
• unterstützt das Hotel bei der Erfüllung von Anträgen betroffener Personen gemäß Abschnitt 7;
• unterstützt das Hotel bei der Erfüllung der Pflichten nach den Artikeln 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen;
• führt die anwendbaren Verzeichnisse der Verarbeitungstätigkeiten und arbeitet mit der zuständigen Aufsichtsbehörde zusammen, soweit das Gesetz dies verlangt;
• stellt dem Hotel die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen unter den Bedingungen von Abschnitt 12;
• gibt die Daten nach Beendigung nach Maßgabe von Abschnitt 13 zurück oder löscht sie.

5.2. Der Anbieter bestimmt keine eigenständigen neuen Zwecke für die Verarbeitung der Daten nach dieser Vereinbarung. Verarbeitet er bestimmte Daten zur Erfüllung einer eigenen gesetzlichen Verpflichtung, zu Sicherheitszwecken, zum Nachweis vertraglicher Beziehungen oder zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen als eigenständiger Verantwortlicher, so grenzt er diese Tätigkeiten klar ab und wendet die entsprechende Datenschutzerklärung an.

Vertraulichkeit und Zugang

6.1. Der Anbieter gewährt Zugang zu den personenbezogenen Daten nur Personen, für die dieser zur Erfüllung konkreter dienstlicher Aufgaben, zur Wartung, zur Sicherheit oder zur Ausführung einer rechtmäßigen Weisung erforderlich ist.

6.2. Die Zugriffsrechte werden nach dem Grundsatz der geringstmöglichen erforderlichen Berechtigungen erteilt, regelmäßig überprüft und entzogen, sobald sie nicht mehr erforderlich sind.

6.3. Der Anbieter gewährleistet, dass die befugten Personen über die Vertraulichkeit der Daten unterrichtet sind und auch nach Beendigung ihrer Tätigkeit zur Vertraulichkeit verpflichtet bleiben.

6.4. Der Zugang des Personals des Anbieters zu Wartungszwecken wird auf das für den Einzelfall Erforderliche beschränkt und, soweit praktisch möglich, durch geeignete technische Aufzeichnungen nachvollziehbar gemacht.

Anträge und Rechte der betroffenen Personen

7.1. Erhält der Anbieter einen Antrag eines Gastes, eines Mitarbeiters oder einer sonstigen betroffenen Person zu Daten, die er im Auftrag des Hotels verarbeitet, so beantwortet er ihn nicht inhaltlich im Namen des Hotels, es sei denn, er ist hierzu ausdrücklich bevollmächtigt oder das Gesetz verlangt etwas anderes.

7.2. Der Anbieter leitet den Antrag unverzüglich an das Hotel weiter, sofern die Identität des betreffenden Hotels vernünftigerweise festgestellt werden kann.

7.3. Unter Berücksichtigung der Art der Verarbeitung unterstützt der Anbieter das Hotel mit den verfügbaren Funktionen und geeigneten technischen Maßnahmen bei Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch und sonstige anwendbare Rechte.

7.4. Das Hotel trägt die Verantwortung für die Überprüfung der Identität des Antragstellers, die Beurteilung des Antrags und die Beantwortung innerhalb der gesetzlichen Frist. Erfordert der Antrag außergewöhnlichen technischen Aufwand außerhalb der Standardfunktionalität, so können die Parteien vorab angemessene Kosten vereinbaren, es sei denn, die Unterstützung ist aufgrund eines Verstoßes des Anbieters erforderlich.

Sicherheit und Verletzungen des Schutzes personenbezogener Daten

8.1. Der Anbieter trifft und unterhält geeignete technische und organisatorische Maßnahmen, die dem Risiko sowie der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung angemessen sind. Der Anbieter dokumentiert die getroffenen Maßnahmen und stellt dem Hotel auf begründetes Verlangen eine Beschreibung nach Maßgabe von Abschnitt 12 und unter einer Vertraulichkeitsverpflichtung zur Verfügung.

8.2. Der Anbieter überprüft regelmäßig die Wirksamkeit der Maßnahmen und aktualisiert sie, wenn Änderungen des Risikos, des Dienstes oder des anwendbaren Rechts dies erfordern. Die Aktualisierung darf das allgemeine Schutzniveau nicht wesentlich verringern.

8.3. Im Falle einer Verletzung des Schutzes personenbezogener Daten unterrichtet der Anbieter das Hotel unverzüglich, nachdem ihm diese bekannt geworden ist. Die Meldung enthält, soweit die Informationen verfügbar sind:

• eine Beschreibung der Art der Verletzung;
• die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze;
• Kontaktdaten für die weitere Kommunikation;
• die wahrscheinlichen Folgen;
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Eindämmung und zur Abmilderung der nachteiligen Auswirkungen.

8.4. Können die Informationen nicht gleichzeitig bereitgestellt werden, so können sie schrittweise ohne weitere unangemessene Verzögerung übermittelt werden. Der Anbieter dokumentiert die Tatsachen, die Auswirkungen und die ergriffenen Maßnahmen.

8.5. Der Anbieter leistet dem Hotel angemessene Unterstützung bei der Beurteilung, ob eine Meldung an eine Aufsichtsbehörde oder eine Benachrichtigung der betroffenen Personen erforderlich ist. Die Entscheidung über die Meldung im Namen des Verantwortlichen und deren Inhalt liegen in der Verantwortung des Hotels, sofern das Gesetz nichts anderes vorsieht.

8.6. Die Meldung eines Vorfalls stellt kein Anerkenntnis eines Verschuldens oder einer Haftung dar.

Weitere Auftragsverarbeiter

9.1. Das Hotel erteilt dem Anbieter eine allgemeine schriftliche Genehmigung zur Inanspruchnahme weiterer Auftragsverarbeiter („Unterauftragsverarbeiter“) ausschließlich zur Bereitstellung und Absicherung von SayFIXED unter den Bedingungen dieses Abschnitts.

9.2. Die aktuelle Liste der Unterauftragsverarbeiter, ihrer Funktionen, der Verarbeitungsorte und der anwendbaren Mechanismen für internationale Datenübermittlungen ist in Anlage 1 enthalten und wird an einer für das Hotel zugänglichen Stelle veröffentlicht.

9.3. Vor der Hinzunahme oder dem Austausch eines Unterauftragsverarbeiters, der personenbezogene Daten des Hotels verarbeiten wird, unterrichtet der Anbieter das Hotel und räumt ihm eine angemessene Gelegenheit ein, aus begründeten, den Schutz personenbezogener Daten betreffenden Gründen Einspruch zu erheben.

9.4. Im Falle eines Einspruchs bemühen sich die Parteien nach Treu und Glauben um eine angemessene Lösung. Ist eine solche Lösung nicht möglich und ist die Änderung für die Erbringung des Dienstes wesentlich, so kann das Hotel den betroffenen Dienst unter den Bedingungen der Allgemeinen Geschäftsbedingungen beenden, unbeschadet bereits fälliger Beträge.

9.5. Der Anbieter erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag im Wesentlichen dieselben Datenschutzpflichten auf, die für ihn nach der vorliegenden Vereinbarung gelten. Der Anbieter bleibt gegenüber dem Hotel für die Erfüllung der Pflichten des Unterauftragsverarbeiters gemäß Artikel 28 Absatz 4 DSGVO verantwortlich.

9.6. Der Anbieter stellt auf begründetes Verlangen die zum Nachweis der Einhaltung dieses Abschnitts erforderlichen Informationen zur Verfügung, wobei er vertrauliche Informationen, Geschäftsgeheimnisse und Daten anderer Kunden, die für die Überprüfung nicht erforderlich sind, unkenntlich machen kann.

Internationale Datenübermittlungen

10.1. Der Anbieter übermittelt keine personenbezogenen Daten außerhalb des Europäischen Wirtschaftsraums und lässt keinen Zugriff auf diese aus einem Drittland zu, es sei denn auf dokumentierte Weisung des Hotels oder bei Vorliegen einer gültigen Grundlage nach Kapitel V DSGVO.

10.2. Beruht die Übermittlung auf einem Angemessenheitsbeschluss, auf Standardvertragsklauseln, auf verbindlichen internen Datenschutzvorschriften oder auf einem sonstigen zulässigen Mechanismus, so werden der Mechanismus und die anwendbaren ergänzenden Maßnahmen in Anlage 1 angegeben.

10.3. Ändern sich das anwendbare Recht oder die Umstände der Übermittlung, so unterrichtet der Anbieter das Hotel und ergreift die vernünftigerweise erforderlichen Maßnahmen zur Wahrung der Rechtmäßigkeit oder stellt die betroffene Übermittlung ein.

Anfragen von Behörden

11.1. Der Anbieter stellt einer Behörde keine Daten freiwillig zur Verfügung, es sei denn auf dokumentierte Weisung des Hotels oder soweit das Gesetz dies verlangt.

11.2. Erhält er ein verbindliches Ersuchen, so wird der Anbieter, soweit das Gesetz dies zulässt:

• die Zuständigkeit, den Umfang und die formale Ordnungsmäßigkeit des Ersuchens prüfen;
• nur die unbedingt erforderlichen Daten bereitstellen;
• das Hotel vorab oder unverzüglich nach der Bereitstellung unterrichten;
• das Ersuchen und die Antwort dokumentieren.

Informationen, Überprüfungen und Audit

12.1. Der Anbieter stellt dem Hotel die zum Nachweis der Erfüllung der Pflichten nach Artikel 28 DSGVO vernünftigerweise erforderlichen Informationen zur Verfügung, einschließlich anwendbarer Richtlinien, Zusammenfassungen von Überprüfungen, Zertifikate oder Sicherheitsfragebögen, soweit vorhanden.

12.2. Reichen die bereitgestellten Informationen nicht aus, so kann das Hotel eine Überprüfung selbst oder durch einen unabhängigen Auditor durchführen, der zur Vertraulichkeit verpflichtet und kein Wettbewerber des Anbieters ist.

12.3. Die Überprüfung erfolgt nach angemessener Vorankündigung, während der üblichen Geschäftszeiten, ohne unangemessene Unterbrechung des Dienstes und ohne Zugang zu Daten anderer Kunden, zum Quellcode, zu Schwachstellen oder zu Geschäftsgeheimnissen über das für die Überprüfung Erforderliche hinaus. Bei einem Vorfall, bei begründetem Verdacht auf einen Verstoß oder auf Verlangen einer Aufsichtsbehörde kann eine kürzere Frist gelten.

12.4. Das Hotel trägt die angemessenen Kosten eines außerordentlichen Audits, es sei denn, das Audit stellt einen wesentlichen Verstoß des Anbieters fest oder ist aufgrund eines solchen Verstoßes erforderlich.

12.5. Der Anbieter unterrichtet das Hotel unverzüglich, wenn nach seiner Auffassung die verlangte Überprüfung oder Weisung gegen das anwendbare Recht oder gegen die Sicherheit eines anderen Kunden verstößt.

Rückgabe und Löschung der Daten

13.1. Während der Laufzeit des aktiven Vertrages kann das Hotel die verfügbaren Exportfunktionen nutzen oder einen Export in einem gängigen maschinenlesbaren Format verlangen, soweit die betreffenden Daten und Formate von der Plattform unterstützt werden.

13.2. Nach Ablauf oder Beendigung des Dienstes lautet die standardmäßige dokumentierte Weisung des Hotels:

• die Abgabe neuer Meldungen wird am Tag des Ablaufs oder der Beendigung eingestellt;
• der Zugang zur Ansicht und zum Export bleibt für weitere 14 Kalendertage erhalten und wird danach beendet;
• die Daten werden aufbewahrt und auf Verlangen des Hotels innerhalb von 30 Kalendertagen oder nach Maßgabe von Abschnitt 5 der Allgemeinen Geschäftsbedingungen gelöscht;
• die verbleibenden Kopien in den Sicherungsarchiven entfallen im Rahmen des üblichen Sicherungszyklus.

13.3. Bis zum Beginn der endgültigen Löschung kann das Hotel eine frühere Rückgabe und/oder Löschung verlangen. Dem Verlangen wird nach angemessener Authentifizierung entsprochen, es sei denn, das Gesetz verlangt eine Aufbewahrung.

13.4. Nach der Löschung bestätigt der Anbieter auf Verlangen deren Durchführung. Technische Daten, die unwiderruflich anonymisiert wurden und keine personenbezogenen Daten mehr darstellen, unterliegen nicht der Rückgabe oder Löschung nach diesem Abschnitt.

13.5. Vertrags-, Buchhaltungs-, Zahlungs-, Prüfungs- und Nachweisunterlagen, die der Anbieter als eigenständiger Verantwortlicher verarbeitet, können gesondert für die anwendbaren gesetzlichen Fristen oder zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen aufbewahrt werden. Sie dürfen nicht zu einem anderen, damit unvereinbaren Zweck verwendet werden.

Unterstützung bei der Datenschutz-Folgenabschätzung und der vorherigen Konsultation

14.1. Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen leistet der Anbieter dem Hotel die vernünftigerweise erforderliche Unterstützung bei der Datenschutz-Folgenabschätzung und bei der vorherigen Konsultation einer Aufsichtsbehörde nach den Artikeln 35 und 36 DSGVO.

14.2. Das Hotel bleibt dafür verantwortlich zu beurteilen, ob eine solche Abschätzung oder Konsultation erforderlich ist, und deren Umfang festzulegen.

Haftung

15.1. Die Haftung zwischen den Parteien richtet sich in dem gesetzlich größtmöglichen Umfang nach den Allgemeinen Geschäftsbedingungen.

15.2. Nichts in der vorliegenden Vereinbarung schließt Haftungen oder Rechte aus oder beschränkt sie, die nach der DSGVO oder einer sonstigen zwingenden Bestimmung nicht ausgeschlossen oder beschränkt werden können, einschließlich der Rechte der betroffenen Personen und der Befugnisse der Aufsichtsbehörden.

15.3. Jede Partei haftet für ihre eigenen Verstöße gegen das anwendbare Recht und für die Erfüllung der ihr entsprechend ihrer Rolle zugewiesenen Pflichten.

Inkrafttreten, Änderung und Beendigung

16.1. Die Vereinbarung tritt in dem Zeitpunkt in Kraft, in dem das Profil des Hotels erfolgreich angelegt wurde und die bevollmächtigte Person deren Fassung über das gesonderte vertragliche Ankreuzfeld angenommen hat. Das Anklicken des Links in der Bestätigungs-E-Mail stellt für sich genommen keine Annahme dar.

16.2. Bei einer wesentlichen Änderung veröffentlicht der Anbieter eine neue Fassung und verlangt eine erneute Annahme, sofern dies nach der Art der Änderung und dem anwendbaren Recht erforderlich ist. Rückwirkende Annahmen werden nicht erzeugt.

16.3. Die Vereinbarung gilt, solange der Anbieter personenbezogene Daten im Auftrag des Hotels verarbeitet. Die Abschnitte über Vertraulichkeit, Audit, Haftung und Löschung gelten über die Beendigung hinaus fort, soweit dies erforderlich ist.

Anwendbares Recht, Sprache und Kontakt

17.1. Auf die Vereinbarung findet bulgarisches Recht Anwendung, unbeschadet der unmittelbar anwendbaren Bestimmungen des Rechts der Europäischen Union sowie der nach dem anwendbaren Recht bestimmten Zuständigkeit der Aufsichtsbehörden und der Gerichte.

17.2. Die Vereinbarung kann in mehreren Sprachen bereitgestellt werden. Im Falle eines Widerspruchs zwischen einer Übersetzung und der bulgarischen Fassung ist die bulgarische Fassung maßgeblich, soweit das Gesetz dies zulässt.

17.3. Mitteilungen im Rahmen der Vereinbarung werden über das Profil in SayFIXED oder an die vertraglichen Anschriften der Parteien übermittelt. Der Kontakt des Anbieters für Fragen zur Verarbeitung und für Vorfälle lautet:

Anlage 1 — Genehmigte Unterauftragsverarbeiter

Die Liste wurde nach Überprüfung der aktiven Infrastruktur und der Konfiguration mit Stand vom 16.08.2026 erstellt.

Zum Zeitpunkt der vorliegenden Vereinbarung ist dies der einzige Unterauftragsverarbeiter. Die Verarbeitung erfolgt in Bulgarien; eine Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums findet nicht statt.

Browser-Benachrichtigungen. Die Plattform unterstützt Benachrichtigungen an den Browser des Mitarbeiters, die bei Aktivierung über die Infrastruktur des jeweiligen Browserherstellers zugestellt werden. Zum Zeitpunkt der vorliegenden Vereinbarung hat diese Funktion in der Produktivumgebung keinen einzigen aktiven Abonnenten. Bei Aktivierung erhält der Browseranbieter ausschließlich die für die Zustellung erforderlichen technischen Daten, ohne den Inhalt der Meldung, der verschlüsselt ist.

Tracking-Technologien der öffentlichen Website. Die öffentliche Seite say-fixed.com kann nach ausdrücklicher Einwilligung des Besuchers Technologien zur Messung und für Werbung laden. Diese betreffen Daten, die der Anbieter als eigenständiger Verantwortlicher verarbeitet, und fallen nicht in den Anwendungsbereich der vorliegenden Vereinbarung. Ihre Regelung findet sich in der Datenschutzerklärung und in der Cookie-Richtlinie.

Erhält ein externer Dienst keine personenbezogenen Daten nach dieser Vereinbarung und hat er keinen Zugang zu solchen, so wird er nicht als Unterauftragsverarbeiter aufgeführt; die Entscheidung wird jedoch intern dokumentiert.

Anlage 2 — Dokumentierte Weisungen des Hotels

Mit der Annahme der Vereinbarung weist das Hotel den Anbieter an:

• die Meldungen und die damit verbundenen Daten entgegenzunehmen, zu speichern, zu strukturieren und den berechtigten Nutzern des Hotels anzuzeigen;
• Benachrichtigungen zu versenden, die nach den Einstellungen und den ausgewählten Kontakten zulässig sind;
• technische Vorgänge durchzuführen, die für Sicherheit, Diagnose, Wartung, Sicherungskopien und Wiederherstellung erforderlich sind;
• die Einstellungen für Rollen, Berechtigungen, Fristen, Export und Löschung anzuwenden;
• die Unterauftragsverarbeiter aus der jeweils aktuellen Anlage 1 in Anspruch zu nehmen;
• bei Ablauf oder Beendigung die Abgabe neuer Meldungen einzustellen, den Zugang zur Ansicht und zum Export für weitere 14 Kalendertage aufrechtzuerhalten und ihn danach zu beenden, wobei die Daten auf Verlangen des Hotels oder nach Maßgabe von Abschnitt 5 der Allgemeinen Geschäftsbedingungen gelöscht werden, sofern keine gültige abweichende Weisung oder gesetzliche Verpflichtung besteht.

Weitere Weisungen können von einem bevollmächtigten Administrator über die Funktionen von SayFIXED oder schriftlich über die bekannt gegebenen Kanäle nach Authentifizierung erteilt werden. Der Anbieter ist nicht verpflichtet, eine Weisung auszuführen, die rechtswidrig, technisch unmöglich oder außerhalb des vereinbarten Umfangs ist, ohne dass die Parteien die erforderliche Änderung vereinbart haben.