Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Entwurf – vor dem Livegang anwaltlich prüfen und Platzhalter in eckigen Klammern ersetzen.

Gegenstand
Der Auftragsverarbeiter (stayintouch) verarbeitet personenbezogene Daten der Gäste im Auftrag des Gastgebers (Verantwortlicher), um digitale Gästemappen bereitzustellen.

Art der Daten
Vorname, Aufenthaltszeitraum, Sprache und Einheit eines Aufenthalts; Rückmeldungen und Fragen von Gästen; pseudonyme Nutzungsereignisse.

Betroffene
Gäste des Verantwortlichen.

Dauer und Löschung
Aufenthaltsdaten werden nach der vom Verantwortlichen gewählten Frist (Vorgabe 30 Tage nach Abreise) anonymisiert; Nutzungsereignisse nach 400 Tagen gelöscht; alle Daten 30 Tage nach Vertragsende.

Technische und organisatorische Maßnahmen
Mandantentrennung auf Datenbankebene (Row-Level Security), Verschlüsselung auf dem Transportweg, Rollen und Protokollierung privilegierter Vorgänge, tägliche Sicherungen, Hosting in Deutschland.

Unterauftragsverarbeiter
[Rechenzentrum], [E-Mail-Versand], Anthropic PBC (KI-Funktionen, nur bei Nutzung). Änderungen werden 30 Tage vorher angekündigt; der Verantwortliche kann widersprechen.

Weisungen, Kontrollen, Meldepflichten
[Regelungen nach Art. 28 Abs. 3 DSGVO ergänzen.]