Auftragsverarbeitungsvertrag für Händler und Partner

AUFTRAGSVERARBEITUNGSVERTRAG (AVV) - HÄNDLERVEREINBARUNG

gemäß Art. 28 DSGVO

zwischen

meisterwork GmbH
Rosentaler Straße 1
9020 Klagenfurt am Wörthersee
Österreich
(nachfolgend „Hauptauftragsverarbeiter" genannt)

und

[Händlername]
[Adresse]
[PLZ Ort]
[Land]
(nachfolgend „Unterauftragsverarbeiter/Händler" genannt)

Präambel

Der Händler vertreibt die Software bessa des Hauptauftragsverarbeiters an Endkunden (Betreiber). Im Rahmen dieser Tätigkeit erhält der Händler Zugriff auf personenbezogene Daten, die in den Systemen des Hauptauftragsverarbeiters gespeichert sind, um Support-Dienstleistungen erbringen zu können. Diese Vereinbarung regelt die datenschutzrechtlichen Pflichten des Händlers als Unterauftragsverarbeiter.

1. Gegenstand und Dauer

1.1 Gegenstand

Der Händler verarbeitet als Unterauftragsverarbeiter personenbezogene Daten im Auftrag der Betreiber (Verantwortliche), wobei der Zugriff über die Systeme des Hauptauftragsverarbeiters erfolgt. Die Verarbeitung erfolgt ausschließlich zum Zweck der:

• Erbringung von First-Level-Support für Betreiber

• Unterstützung bei der Systemeinrichtung und -konfiguration

• Durchführung von Schulungen

• Fehlerbehebung und technische Unterstützung

1.2 Dauer

Diese Vereinbarung gilt für die Dauer der Händlervereinbarung zwischen den Parteien.

2. Art der Datenverarbeitung und betroffene Personen

2.1 Art der Verarbeitung

• Einsichtnahme in Kundendaten zur Supportleistung

• Konfiguration von Systemeinstellungen

• Unterstützung bei der Dateneingabe

• Fehleranalyse und -behebung

• Durchführung von Systemtests

2.2 Datenkategorien

Der Händler kann im Rahmen der Supporttätigkeit Einsicht in folgende Datenkategorien erhalten:

• Stammdaten von Endkunden

• Transaktionsdaten (Bestellungen, Rechnungen)

• Systemkonfigurationsdaten

• Kundenbindungsdaten

• Hotellerie/Beherbergung:

  • Abrechnungsdaten für Zusatzleistungen

  • Zimmernummern für interne Verrechnung

Hinweis: Ausweis- und Meldedaten werden NICHT in bessa verarbeitet.

2.3 Betroffene Personen

• Endkunden der Betreiber

• Hotelgäste (nur bzgl. Zusatzleistungen)

• Mitarbeiter der Betreiber

• Geschäftspartner der Betreiber

3. Pflichten des Händlers

3.1 Zweckbindung und Weisungsgebundenheit

Der Händler:

• Verarbeitet Daten ausschließlich für die vereinbarten Support-Zwecke

• Befolgt die Weisungen des Hauptauftragsverarbeiters und der jeweiligen Betreiber

• Verwendet die Daten nicht für eigene Zwecke oder die Zwecke Dritter

• Speichert keine lokalen Kopien der Kundendaten

3.2 Vertraulichkeit

Der Händler verpflichtet sich:

• Alle Mitarbeiter zur Vertraulichkeit zu verpflichten

• Sicherzustellen, dass nur autorisierte Mitarbeiter Zugriff erhalten

• Eine Vertraulichkeitsvereinbarung mit allen zugriffsberechtigten Personen abzuschließen

3.3 Datensicherheit

Der Händler implementiert angemessene technische und organisatorische Maßnahmen:

• Sichere Authentifizierung für Systemzugriffe

• Verwendung sicherer Verbindungen

• Schutz der Zugangsdaten

• Clean-Desk-Policy

• Sichere Löschung/Vernichtung von Ausdrucken oder temporären Dateien

3.4 Keine weitere Unterbeauftragung

Der Händler darf ohne vorherige schriftliche Genehmigung keine weiteren Unterauftragsverarbeiter einsetzen.

3.5 Unterstützungspflichten

Der Händler unterstützt:

• Bei der Beantwortung von Betroffenenanfragen

• Bei der Meldung von Datenschutzverletzungen

• Bei Kontrollen durch Aufsichtsbehörden

3.6 Dokumentation

Der Händler führt ein Verzeichnis aller Verarbeitungstätigkeiten gemäß Art. 30 DSGVO.

4. Kontrollrechte

4.1 Kontrollen

Der Hauptauftragsverarbeiter und die jeweiligen Betreiber haben das Recht:

• Die Einhaltung dieser Vereinbarung zu überprüfen

• Einsicht in relevante Dokumentationen zu nehmen

• Audits durchzuführen (nach angemessener Vorankündigung)

4.2 Auskunftspflicht

Der Händler erteilt auf Anfrage Auskunft über:

• Zugriffsberechtigte Mitarbeiter

• Durchgeführte Supporttätigkeiten

• Implementierte Sicherheitsmaßnahmen

5. Mitteilungspflichten

Der Händler informiert den Hauptauftragsverarbeiter unverzüglich über:

• Datenschutzverletzungen oder Verdachtsfälle

• Anfragen von betroffenen Personen

• Kontrollen durch Aufsichtsbehörden

• Weisungen, die nach Ansicht des Händlers rechtswidrig sind

Die Meldung von Datenschutzverletzungen muss innerhalb von 24 Stunden nach Kenntnisnahme erfolgen.

6. Zugriffsprotokollierung

Der Händler dokumentiert alle Zugriffe auf Kundendaten:

• Datum und Uhrzeit des Zugriffs

• Betroffener Betreiber/Kunde

• Grund des Zugriffs (Ticket-Nummer, Supportanfrage)

• Durchgeführte Tätigkeiten

• Name des zugreifenden Mitarbeiters

7. Schulung und Sensibilisierung

Der Händler verpflichtet sich:

• Alle Mitarbeiter im Datenschutz zu schulen

• Regelmäßige Auffrischungsschulungen durchzuführen

• Die Schulungen zu dokumentieren

8. Beendigung

Bei Beendigung der Vereinbarung:

• Werden alle Zugriffsrechte unverzüglich entzogen

• Müssen alle lokalen Daten gelöscht werden

• Ist die Löschung schriftlich zu bestätigen

9. Haftung

9.1 Haftung des Händlers

Der Händler haftet für Verstöße gegen datenschutzrechtliche Vorschriften nach den gesetzlichen Bestimmungen der DSGVO.

9.2 Freistellung

Der Händler stellt den Hauptauftragsverarbeiter von allen Ansprüchen Dritter frei, die auf einer schuldhaften Verletzung dieser Vereinbarung durch den Händler beruhen.

10. Vergütung

Die Rechte und Pflichten aus dieser Vereinbarung sind durch die Händlervereinbarung abgegolten. Eine gesonderte Vergütung erfolgt nicht.

11. Schlussbestimmungen

11.1 Schriftform

Änderungen und Ergänzungen bedürfen der Schriftform.

11.2 Salvatorische Klausel

Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

11.3 Anwendbares Recht

Es gilt österreichisches Recht. Gerichtsstand ist Klagenfurt am Wörthersee.

Anlage: Technische und organisatorische Maßnahmen des Händlers

Mindestanforderungen an die Sicherheitsmaßnahmen

1. Zutrittskontrolle

• Geschäftssräume sind gegen unbefugten Zutritt gesichert

• Serverräume/IT-Räume sind besonders geschützt

2. Zugangskontrolle

• Verwendung individueller, sicherer Passwörter

• Aktivierung der Zwei-Faktor-Authentifizierung

• Bildschirmsperre bei Abwesenheit

• Keine Weitergabe von Zugangsdaten

3. Zugriffskontrolle

• Zugriff nur auf notwendige Kundendaten

• Prinzip der minimalen Rechtevergabe

• Regelmäßige Überprüfung der Berechtigungen

4. Weitergabekontrolle

• Keine Weitergabe von Kundendaten an Dritte

• Verschlüsselte Kommunikation

• Sichere Löschung von Datenträgern

5. Eingabekontrolle

• Dokumentation aller Support-Tätigkeiten

• Nachvollziehbarkeit von Änderungen

6. Verfügbarkeitskontrolle

• Schutz vor Schadsoftware

• Regelmäßige Sicherheitsupdates

• Backup der eigenen Systeme

7. Trennungsgebot

• Trennung von Kundendaten verschiedener Betreiber

• Keine Vermischung mit eigenen Geschäftsdaten

Kontaktdaten für Datenschutzangelegenheiten:

Hauptauftragsverarbeiter:
meisterwork GmbH
E-Mail: support@bessa.app
Tel: +43 720 317 836

Händler:
[Name des Datenschutzverantwortlichen]
[E-Mail]
[Telefon]

Ort, Datum: _______________________

Für den Hauptauftragsverarbeiter (meisterwork GmbH):

Name, Funktion
Unterschrift

Für den Unterauftragsverarbeiter (Händler):

Name, Funktion
Unterschrift