LuViHub Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag („AVV") nach Artikel 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO") ist Anlage 1 zu den LuViHub Nutzungsbedingungen für Gastgeber („Bedingungen") und wird geschlossen zwischen:

• dem Gastgeber, der LuViHub nutzt („Verantwortlicher"), und
• der LuVi Solutions j.d.o.o., [Straße und Hausnummer], [PLZ] [Ort], Kroatien, OIB [OIB] („Auftragsverarbeiter", „wir").

Er wird zusammen mit den Bedingungen angenommen. In den Bedingungen definierte Begriffe (z. B. Dienst, Gastgeberdaten, Benutzer, Gast) haben hier dieselbe Bedeutung. Verbindlich ist die kroatische Fassung.

1Gegenstand und Dauer

1.1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um den Dienst nach den Bedingungen zu erbringen. Anlage 1 beschreibt Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen.

1.2. Dieser AVV gilt, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet — vom Vertragsschluss bis zur Löschung der Daten nach Punkt 11.

2Rollen

2.1. Für personenbezogene Daten von Gästen und anderen Personen, die der Verantwortliche oder seine Benutzer in den Dienst eingeben oder die der Dienst für ihn empfängt (z. B. von Buchungskanälen oder von Gästen über den Online-Check-in), ist der Gastgeber Verantwortlicher und die LuVi Solutions j.d.o.o. Auftragsverarbeiter.

2.2. Für Daten von Gastgebern und Benutzern, die wir für eigene Zwecke verarbeiten (Vertrag, Abrechnung, Support, Sicherheit des Dienstes, Missbrauchsverhinderung), sind wir Verantwortlicher; es gilt unsere Datenschutzerklärung.

2.3. Wir dürfen aus der Nutzung des Dienstes anonymisierte, zusammengefasste Statistiken (z. B. Anzahl der Buchungen pro Land) erstellen, die keine Rückschlüsse auf einzelne Personen oder Gastgeber zulassen, und sie zur Verbesserung des Dienstes verwenden.

3Weisungen

3.1. Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, sofern wir nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet sind; in einem solchen Fall teilen wir dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

3.2. Die Bedingungen, dieser AVV, die Funktionen des Dienstes und die Einstellungen, die der Verantwortliche und seine Benutzer im Dienst wählen (z. B. welche Buchungskanäle, Smart Locks, Nachrichtendienste oder KI-Funktionen verbunden sind, welche Gästemeldung verwendet wird, welche Nachrichten automatisch versendet werden), sind dokumentierte Weisungen des Verantwortlichen. Weitere Weisungen sind schriftlich zu erteilen (E-Mail genügt) und müssen technisch umsetzbar sein und im Rahmen des Dienstes liegen.

3.3. Wir informieren den Verantwortlichen unverzüglich, wenn eine Weisung nach unserer Auffassung gegen Datenschutzrecht verstößt. Wir können die Ausführung aussetzen, bis sie bestätigt oder geändert wird.

3.4. Übermittlungen auf Weisung des Verantwortlichen. Nutzt der Verantwortliche Funktionen, die Daten an von ihm gewählte Empfänger übermitteln — etwa Gästemeldung an eVisitor, Meldungen nach dem österreichischen Meldegesetz, Fiskalisierung und E-Rechnungen an die Steuerverwaltung, Statistik an die Gemeinde oder Reservierungen und Verfügbarkeiten an Buchungskanäle —, übermitteln wir die Daten in seinem Auftrag. Diese Empfänger erhalten die Daten als Empfänger des Verantwortlichen und sind keine Unterauftragsverarbeiter von uns.

4Pflichten des Verantwortlichen

4.1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage, die Information der betroffenen Personen (Artikel 13 und 14 DSGVO) und die Beantwortung ihrer Anfragen.

4.2. Der Verantwortliche gibt nur personenbezogene Daten ein, die für seine Zwecke erforderlich sind. Besondere Kategorien personenbezogener Daten (Artikel 9 DSGVO, z. B. Gesundheitsdaten) sollen nicht in Freitextfelder oder Nachrichten eingegeben werden, sofern keine Rechtsgrundlage besteht.

4.3. Der Verantwortliche informiert uns unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

5Vertraulichkeit

Wir stellen sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die Daten nur auf unsere Weisung und im erforderlichen Umfang verarbeiten.

6Sicherheit der Verarbeitung

6.1. Wir treffen geeignete technische und organisatorische Maßnahmen nach Artikel 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen sind in Anlage 2 beschrieben.

6.2. Die Maßnahmen unterliegen dem technischen Fortschritt. Wir dürfen sie anpassen, sofern das Schutzniveau nicht unterschritten wird.

7Unterauftragsverarbeiter

7.1. Der Verantwortliche erteilt uns eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die bei Vertragsschluss beauftragten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt; die aktuelle Liste ist unter luvihub.com/legal/dpa abrufbar.

7.2. Wir informieren den Verantwortlichen per E-Mail und im Dienst mindestens 30 Tage, bevor wir einen Unterauftragsverarbeiter hinzuziehen oder ersetzen. Der Verantwortliche kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Können wir dem Einwand nicht abhelfen, kann der Verantwortliche den Vertrag vor Wirksamwerden der Änderung kostenlos kündigen. In dringenden Fällen (z. B. ein Unterauftragsverarbeiter stellt seinen Dienst ein oder ein Sicherheitsproblem) kann die Frist kürzer sein; wir informieren so früh wie möglich.

7.3. Wir verpflichten jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die mindestens das Schutzniveau dieses AVV bieten, insbesondere zu hinreichenden Garantien für geeignete technische und organisatorische Maßnahmen. Wir haften dem Verantwortlichen für die Erfüllung der Pflichten des Unterauftragsverarbeiters.

7.4. Unterauftragsverarbeiter, die erst verbunden werden, wenn der Verantwortliche die betreffende Funktion einschaltet (z. B. WhatsApp, Smart Locks, KI-Funktionen, Channel Manager), verarbeiten nur Daten von Verantwortlichen, die diese Funktion nutzen.

8Übermittlung in Drittländer

8.1. Wir speichern und verarbeiten die Gastgeberdaten auf Servern in der Europäischen Union (Rechenzentrum in Frankfurt am Main, Deutschland).

8.2. Personenbezogene Daten werden nur dann in ein Land außerhalb des Europäischen Wirtschaftsraums übermittelt, wenn die Voraussetzungen von Kapitel V DSGVO erfüllt sind — insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (z. B. Vereinigtes Königreich oder EU-US Data Privacy Framework für zertifizierte Empfänger) oder der Standardvertragsklauseln der Europäischen Kommission, erforderlichenfalls mit ergänzenden Maßnahmen. Anlage 3 nennt die Übermittlungsgrundlage für jeden Unterauftragsverarbeiter.

9Verletzungen des Schutzes personenbezogener Daten

9.1. Wir melden dem Verantwortlichen eine ihn betreffende Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 48 Stunden nach Kenntnis, damit er seine Pflicht nach Artikel 33 DSGVO (Meldung an die Aufsichtsbehörde binnen 72 Stunden) erfüllen kann.

9.2. Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen und eine Anlaufstelle. Noch fehlende Informationen liefern wir nach, sobald sie vorliegen.

9.3. Wir ergreifen die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und dokumentieren jede Verletzung.

10Unterstützung

10.1. Angesichts der Art der Verarbeitung unterstützen wir den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Der Dienst bietet dafür Funktionen (z. B. Anzeigen, Berichtigen, Exportieren und Löschen von Gästedaten). Wendet sich eine betroffene Person direkt an uns, leiten wir den Antrag unverzüglich an den Verantwortlichen weiter und beantworten ihn nicht selbst, außer auf Weisung.

10.2. Unter Berücksichtigung der uns vorliegenden Informationen unterstützen wir den Verantwortlichen bei seinen Pflichten nach Artikel 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

10.3. Für Unterstützung, die über die Funktionen des Dienstes hinausgeht und nicht durch unseren eigenen Verstoß veranlasst ist, können wir angemessene Kosten verrechnen.

11Löschung und Rückgabe

11.1. Nach Vertragsende kann der Verantwortliche seine Daten noch 180 Tage exportieren (Punkt 14.6 der Bedingungen). Danach löschen wir die im Auftrag verarbeiteten personenbezogenen Daten, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Speicherpflicht besteht. Gelöschte Daten können bis zu 30 Tage in Sicherungen verbleiben, bis sie überschrieben werden.

11.2. Während der Vertragslaufzeit werden Daten nach den Funktionen und Einstellungen des Dienstes gelöscht (z. B. wird das österreichische Gästeverzeichnis 7 Jahre nach der Eintragung automatisch gelöscht) oder wenn der Verantwortliche sie löscht.

11.3. Auf Anfrage bestätigen wir die Löschung schriftlich.

12Informationen und Kontrollen

12.1. Wir stellen dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind — insbesondere diesen AVV, die Beschreibung der Maßnahmen (Anlage 2), die Liste der Unterauftragsverarbeiter und, soweit vorhanden, Zertifizierungen oder Prüfberichte.

12.2. Der Verantwortliche kann Überprüfungen einschließlich Inspektionen selbst oder durch einen zur Verschwiegenheit verpflichteten unabhängigen Prüfer durchführen, nach Ankündigung mindestens 30 Tage im Voraus, zu den üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal pro Kalenderjahr — außer bei besonderem Anlass (z. B. einer Datenschutzverletzung oder einer Anordnung der Aufsichtsbehörde). Der Verantwortliche trägt seine eigenen Kosten; für unseren Aufwand können wir angemessene Kosten verrechnen. Prüfungen der Rechenzentren von Unterauftragsverarbeitern werden durch deren Zertifizierungen und Berichte ersetzt.

13Haftung

Die Haftung gegenüber betroffenen Personen richtet sich nach Artikel 82 DSGVO. Im Verhältnis zwischen den Parteien gelten die Haftungsbestimmungen der Bedingungen, soweit zwingendes Recht nichts anderes vorsieht.

14Schlussbestimmungen

14.1. Bei Widersprüchen geht dieser AVV in Fragen des Datenschutzes den Bedingungen vor.

14.2. Wir können diesen AVV unter den Voraussetzungen von Punkt 18 der Bedingungen ändern (Mitteilung mindestens 30 Tage im Voraus, Kündigungsrecht). Gesetzlich oder von einer Aufsichtsbehörde verlangte Änderungen können früher gelten.

14.3. Es gilt kroatisches Recht. Zuständige Aufsichtsbehörde für den Auftragsverarbeiter ist die kroatische Datenschutzbehörde (Agencija za zaštitu osobnih podataka, AZOP), Zagreb.

14.4. Kontakt für Datenschutz: team@luvihub.com.

Anlage 1 – Beschreibung der Verarbeitung

Zweck: Erbringung des Dienstes für den Verantwortlichen: Verwaltung von Unterkünften, Reservierungen und Gästen; Buchungsseiten und Online-Buchungen; Online-Check-in und Gästemeldung; Gästekommunikation; Rechnungen und Zahlungen; Zugang zur Unterkunft (Smart Locks, Parken); Statistiken und Berichte; KI-Funktionen, falls eingeschaltet.

Art der Verarbeitung: Erheben (über Formulare, Schnittstellen und Importe), Erfassen, Ordnen, Speichern, Anpassen, Abfragen, Verwenden, Übermitteln auf Weisung des Verantwortlichen, Einschränken und Löschen.

Kategorien betroffener Personen:

• Gäste und Mitreisende (einschließlich Minderjähriger);
• Personen, die anfragen oder buchen;
• Benutzer des Verantwortlichen (Mitarbeiter, Eigentümer, Reinigungskräfte, Betreuer vor Ort) und andere Kontaktpersonen;
• Eigentümer von Unterkünften, die der Verantwortliche verwaltet.

Arten personenbezogener Daten:

• Identitätsdaten: Name, Geschlecht, Geburtsdatum, Staatsangehörigkeit;
• Reisedokumentdaten: Art, Nummer, Ausstellungsdatum, ausstellende Behörde und Staat (für die Gästemeldung);
• Adresse, E-Mail-Adresse, Telefonnummer, Sprache;
• Reservierungsdaten: Daten, Einheit, Gästezahl, Preise, Buchungskanal, Notizen, Sonderwünsche;
• Online-Check-in-Daten: Ankunftszeit, Anreiseart, Parkwunsch, Kennzeichen;
• Unterschriften (österreichisches Gästeverzeichnis);
• Zahlungsdaten: Beträge, Zahlungsstatus, vom Zahlungsdienstleister übermittelte Angaben zum Zahlungsmittel (vollständige Kartennummern speichern wir nicht);
• Rechnungsdaten, Steuerdaten (Tourismusabgabe, Ortstaxe, Befreiungen);
• Zugangsdaten: Zugangscodes, Gültigkeitszeiträume von Schlüsseln, Protokolle von Türöffnungen;
• Kommunikation: E-Mails und Nachrichten mit Gästen (einschließlich WhatsApp/SMS, falls genutzt);
• technische Daten: IP-Adresse, Browser, Zeitstempel auf Gästeseiten (z. B. für Unterschriften und Sicherheit).

Dauer: für die Vertragsdauer und bis zur Löschung nach Punkt 11.

Anlage 2 – Technische und organisatorische Maßnahmen (Artikel 32 DSGVO)

Vertraulichkeit

• Server in einem professionell betriebenen Rechenzentrum in Frankfurt am Main (Deutschland) mit Zutrittskontrolle, Videoüberwachung und kontrolliertem Zugang durch den Hosting-Anbieter.
• Verschlüsselte Verbindungen (HTTPS/TLS) für jeden Zugriff auf den Dienst und für Schnittstellen zu Dritten.
• Eigene Datenbank pro Gastgeber mit eigenem Datenbankbenutzer; die Anwendung trennt die Daten verschiedener Gastgeber.
• Rollenbasierter Zugriff im Dienst (Admin, Vertrieb, Eigentümer, Betreuer vor Ort, Reinigung …) und Beschränkung auf die einem Benutzer zugewiesenen Einheiten.
• Passwörter nur als gesalzene Hashes (bcrypt); Begrenzung von Anmeldeversuchen; Zugang der Systemadministration mit Zwei-Faktor-Authentifizierung.
• Zugangsdaten für Drittdienste (z. B. Smart-Lock- und Kanal-Tokens) verschlüsselt gespeichert.
• Gästelinks mit zufälligen, nicht erratbaren Tokens; Gerätebindung von Zugangslinks.
• Administrativer Serverzugang nur für befugte Personen über verschlüsselte Verbindungen; Datenbankports nicht aus dem Internet erreichbar.

Integrität

• Protokollierung wichtiger Änderungen (z. B. Berichtigungen von Gästeblättern mit altem und neuem Wert, Benutzer und Grund; Türöffnungsprotokolle; Zahlungsereignisse).
• Unterschriebene Gästeblätter durch Prüfsumme geschützt.
• Eingabeprüfung und Schutz vor gängigen Webangriffen (z. B. Content Security Policy, Formularschutz).

Verfügbarkeit und Belastbarkeit

• Automatische tägliche Sicherungen aller Datenbanken und hochgeladenen Dateien, geprüft und 30 Tage aufbewahrt, mit einer verschlüsselten Kopie bei einem getrennten Anbieter in der EU.
• Überwachung der Dienste; Neustartverfahren; getestete Wiederherstellung von Sicherungen.
• Aktualisierungen von Betriebssystem und Softwarekomponenten.

Verfahren zur regelmäßigen Überprüfung und Bewertung

• Überprüfung der Maßnahmen mindestens einmal jährlich sowie nach wesentlichen Änderungen oder Vorfällen.
• Getrennte Testumgebung; Änderungen werden vor der Veröffentlichung getestet; Testsysteme senden keine Nachrichten an echte Gäste und bedienen keine echten Schlösser.
• Dokumentiertes Verfahren bei Datenschutzverletzungen (Punkt 9).

Anlage 3 – Unterauftragsverarbeiter