Sobald wir Reservierungen für Sie entgegennehmen, verarbeiten wir Daten Ihrer Gäste – aber nicht für uns, sondern in Ihrem Auftrag. Sie bleiben verantwortlich, wir sind Auftragsverarbeiter. Art. 28 DSGVO verlangt dafür einen Vertrag. Er wird mit Ihrer Bestellung mitgeschlossen, Sie müssen nichts gesondert unterschreiben.
(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen das Online-Reservierungssystem „platzhalter“.
(2) Die Verarbeitung erfolgt ausschließlich in Mitgliedstaaten der Europäischen Union. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen.
(3) Der Vertrag läuft für die Dauer des Hauptvertrags und endet mit diesem.
Betroffene: Gäste, die eine Reservierung vornehmen, sowie Beschäftigte des Verantwortlichen mit Zugang zum Verwaltungsbereich.
Datenarten:
Zweck: Entgegennahme, Verwaltung und Bestätigung von Tischreservierungen einschließlich Erinnerungs- und Stornonachrichten.
(1) Die Verarbeitung erfolgt ausschließlich im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Verantwortlichen.
(2) Weisungen erfolgen in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies mit und darf die Ausführung bis zur Klärung aussetzen.
Es werden nur Personen eingesetzt, die zur Vertraulichkeit verpflichtet und mit den Anforderungen des Datenschutzes vertraut sind. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.
Die Maßnahmen unterliegen dem technischen Fortschritt und dürfen angepasst werden, solange das Schutzniveau erhalten bleibt.
(1) Der Verantwortliche stimmt dem Einsatz folgender Unterauftragnehmer zu:
(2) Weitere Unterauftragnehmer werden mindestens vier Wochen vorher in Textform mitgeteilt. Der Verantwortliche kann aus wichtigem Grund widersprechen.
(1) Der Auftragsverarbeiter unterstützt bei Betroffenenanfragen nach Art. 15 bis 22 DSGVO. Wendet sich eine betroffene Person unmittelbar an ihn, leitet er die Anfrage weiter und beantwortet sie nicht selbst.
(2) Datenschutzverletzungen werden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO gemeldet.
Der Verantwortliche kann sich von der Einhaltung überzeugen. Kontrollen sind mit angemessener Vorlaufzeit anzukündigen. Der Nachweis kann durch Dokumentation oder Zertifikate der Dienstleister geführt werden.
(1) Gastdaten werden 90 Tage nach dem Reservierungsdatum automatisch anonymisiert, Protokolldaten nach 12 Monaten gelöscht.
(2) Nach Vertragsende werden alle Daten gelöscht oder nach Wahl des Verantwortlichen herausgegeben. Ein Export im CSV-Format ist auf Wunsch vorher möglich.
(3) Gesetzliche Aufbewahrungspflichten bleiben unberührt.
Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. Es gilt deutsches Recht.
Entwurf. Vor der Veröffentlichung anwaltlich prüfen lassen.