Auftrags­verarbeitungs­vertrag

zwischen

dem Gastgeber, der EVRIO nutzt (im Folgenden "Verantwortlicher"),

und

ABC Logistic Service Zentrum UG (haftungsbeschränkt), Marke EVRIO, Kaiser-Friedrich-Straße 31 a, 47169 Duisburg, Deutschland, vertreten durch den Geschäftsführer Sülük Celebi, Amtsgericht Duisburg HRB 40599, E-Mail: info@evrio.de (im Folgenden "Auftragsverarbeiter").

Vertragsschluss: Dieser Vertrag wird elektronisch geschlossen, wenn der Verantwortliche bei der Registrierung oder bei einer späteren Abfrage in der App das Kästchen "Ich schließe den Auftragsverarbeitungsvertrag (AVV) mit EVRIO ab" aktiviert und bestätigt. Die elektronische Form genügt (Art. 28 Abs. 9 DSGVO). EVRIO speichert Fassung, Prüfsumme und Zeitpunkt der Annahme und übermittelt den Vertragstext auf einem dauerhaften Datenträger.

Diese Fassung ist in deutscher Sprache. Nutzungsbedingungen · Datenschutz für App und Vorschau

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um die Plattform EVRIO nach den Nutzungsbedingungen (Hauptvertrag) bereitzustellen.

(2) Der Vertrag läuft so lange wie der Hauptvertrag. Er endet nicht vor Abschluss der Rückgabe und Löschung nach § 10.

(3) Soweit der Auftragsverarbeiter Daten der Gastgeber selbst verarbeitet (Kundenkonto, Abonnement, Rechnungen, Verifizierung, Support), ist er Verantwortlicher; dafür gelten die Datenschutzhinweise von EVRIO, nicht dieser Vertrag.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene (Art. 28 Abs. 3 S. 1 DSGVO)

(1) Zwecke und Art der Verarbeitung: Erheben, Speichern, Ordnen, Anzeigen, Übermitteln, Übersetzen und Löschen von Daten, um

1. Unterkünfte, Aufenthalte und Buchungen zu verwalten, auch durch Übernahme aus Kalendern, Buchungsmails und Dokumenten;

2. Gäste einzuladen, ihnen die Selbstanmeldung und einen Gästebereich mit Unterkunftsinformationen, Hausregeln, Umgebung und – nur nach Freigabe und im Anreisefenster – Zugangscodes bereitzustellen;

3. Nachrichten zwischen Gast und Gastgeber zu übermitteln und zu übersetzen;

4. einen KI-Gästeassistenten mit Spracheingabe (Transkription) und Sprachausgabe zu betreiben;

5. den besonderen Meldeschein nach §§ 29, 30 BMG digital zu erfassen, verschlüsselt aufzubewahren, als PDF bereitzustellen und fristgerecht zu löschen;

6. eine freiwillige Identitätsprüfung des Gastes über Stripe Identity durchzuführen, wenn der Verantwortliche sie aktiviert und der Gast ausdrücklich einwilligt;

7. Extras anzufragen, anzubieten, zu bestellen, zu stornieren und den Zahlungsstatus zu führen;

8. Reinigung, Freigaben, Aufgaben, Schäden und Mitarbeitende zu organisieren;

9. Datensicherungen, Exporte und Löschungen durchzuführen.

(2) Betroffene Personen: Gäste und Mitreisende; Absender von Buchungsmails; Mitarbeitende und Dienstleister des Verantwortlichen (z. B. Reinigungskräfte, Handwerker), soweit der Verantwortliche sie in EVRIO erfasst.

(3) Datenarten: Name, E-Mail-Adresse, Telefonnummer, Buchungsreferenz und Buchungsplattform, An- und Abreise, Sprache, Notizen; Buchungsbeträge und Gebühren; Inhalte von Buchungsmails und hochgeladenen Dokumenten; Nachrichten, KI-Gespräche, Übersetzungen, Spracheingaben (Audio, nur flüchtig zur Transkription); Meldescheindaten nach § 30 Abs. 2 BMG (Namen, Geburtsdatum, Staatsangehörigkeiten, Anschrift, Zahl und Staatsangehörigkeit der Mitreisenden, Seriennummer des Ausweisdokuments, Unterschrift als Vektordaten); Ergebnis einer Identitätsprüfung (bestanden/nicht bestanden, Dokumenttyp); Extras-Bestellungen, Zahlungsstatus und Zahlungs-IDs (keine Kartendaten); Bewertungen, Schadensfälle mit Fotos; Zugangscodes und Gästelinks; Push-Token des Gastgeräts; Mitarbeiterdaten (Name, Rolle, Arbeitsnummer, Aufgaben); technische Protokolle.

(4) Besondere Kategorien (Art. 9 DSGVO): Nur bei der freiwilligen Identitätsprüfung verarbeitet Stripe biometrische Daten auf Grundlage der ausdrücklichen Einwilligung des Gastes (Art. 9 Abs. 2 lit. a DSGVO). EVRIO erhält davon nur das Ergebnis. Freitexte können zufällig besondere Kategorien enthalten; sie werden nicht gezielt ausgewertet.

(5) Ausweisfotos zum Auslesen der maschinenlesbaren Zone werden nur im Arbeitsspeicher verarbeitet und sofort verworfen; eine Kopie im Sinne von § 20 Abs. 2 PAuswG entsteht nicht.

§ 3 Weisungen (Art. 28 Abs. 3 S. 2 lit. a, Abs. 3 UAbs. 2 DSGVO)

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich Übermittlungen in Drittländer, es sei denn, das Unionsrecht oder das deutsche Recht verpflichtet ihn dazu; in diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vorher mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Dokumentierte Weisungen sind dieser Vertrag, der Hauptvertrag sowie die Einstellungen und Aktionen des Verantwortlichen in EVRIO, insbesondere das Aktivieren von KI, Übersetzung, Meldeschein, Identitätsprüfung, Postfachanbindung, Einladungslinks, Zugangscode-Freigaben, Wissensvorschlägen, Extras, Online-Zahlung und Erstattungen, das Festlegen von Aufbewahrungsfristen sowie Export und Löschung. Weitere Weisungen erteilt der Verantwortliche in Textform an info@evrio.de.

(3) Erstellt EVRIO auf Veranlassung des Verantwortlichen Rechnungen über Extras im Namen und für Rechnung des Verantwortlichen (§ 14 Abs. 2 S. 4 UStG), gilt die Aktivierung dieser Funktion als dokumentierte Weisung.

(4) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO) und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 4 Vertraulichkeit (Art. 28 Abs. 3 S. 2 lit. b DSGVO)

Der Auftragsverarbeiter setzt nur Personen ein, die schriftlich auf Vertraulichkeit verpflichtet wurden oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

§ 5 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 S. 2 lit. c, Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft die Maßnahmen nach Anlage 1.

(2) Er darf die Maßnahmen an den Stand der Technik anpassen, wenn das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie auf Anfrage mit.

§ 6 Unterauftragsverarbeiter (Art. 28 Abs. 2, 4 DSGVO)

(1) Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung für die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 4 Wochen vor jeder beabsichtigten Hinzuziehung oder Ersetzung in Textform (E-Mail an die Kontoadresse). Der Verantwortliche kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen in Textform widersprechen. Kommt keine Einigung zustande, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wechsels ohne Kosten kündigen; der Auftragsverarbeiter kann den betroffenen Dienst für diesen Verantwortlichen abschalten. In Notfällen (z. B. Sicherheitsvorfall beim bisherigen Anbieter) darf der Wechsel sofort erfolgen; die Information wird unverzüglich nachgeholt.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO) und haftet für dessen Pflichterfüllung.

(4) Die aktuelle Liste ist unter evrio.de/app-datenschutz veröffentlicht. Eingesetzt wird jeweils nur der tatsächlich konfigurierte Dienst.

§ 7 Übermittlungen in Drittländer (Art. 44 ff. DSGVO)

Übermittlungen außerhalb des EWR erfolgen nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind: vorrangig auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (Art. 45 DSGVO) für zertifizierte Empfänger, andernfalls auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) mit ergänzenden Maßnahmen. Die Grundlage je Empfänger nennt Anlage 2.

§ 8 Unterstützung des Verantwortlichen (Art. 28 Abs. 3 S. 2 lit. e, f DSGVO)

(1) Betroffenenrechte (Art. 15 bis 22 DSGVO): EVRIO stellt Export, Berichtigung, Anonymisierung und Löschung je Gast und Aufenthalt in der App bereit. Wendet sich ein Betroffener direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich, spätestens innerhalb von 3 Werktagen, an den Verantwortlichen weiter und beantwortet sie nicht selbst, sofern der Verantwortliche nichts anderes anweist.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere durch Bereitstellung dieses Vertrags, der TOM, der Muster-Datenschutz-Folgenabschätzung für den KI-Gästeassistenten und der Angaben für Meldungen.

(3) Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die Kontoadresse und in der App (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden schrittweise nachgereicht. Der Auftragsverarbeiter dokumentiert jeden Vorfall.

(4) Der Auftragsverarbeiter unterstützt Anfragen von Behörden, insbesondere die Vorlage von Meldescheinen auf Verlangen der zuständigen Behörde nach § 30 Abs. 4 BMG, durch den PDF-Export in der App.

§ 9 Nachweise und Kontrollen (Art. 28 Abs. 3 S. 2 lit. h DSGVO)

(1) Der Auftragsverarbeiter stellt alle zum Nachweis der Pflichten erforderlichen Informationen bereit, vorrangig durch aktuelle Unterlagen (TOM, Verzeichnis, Prüfberichte, Zertifikate von Unterauftragsverarbeitern).

(2) Überprüfungen einschließlich Inspektionen vor Ort sind nach einer Vorankündigung von 14 Tagen während der Geschäftszeiten möglich, ohne den Betrieb zu stören und unter Wahrung der Vertraulichkeit anderer Kunden. Bei konkretem Verdacht eines Datenschutzverstoßes entfällt die Frist. Prüfer, die im Wettbewerb mit dem Auftragsverarbeiter stehen, können abgelehnt werden.

§ 10 Rückgabe und Löschung nach Vertragsende (Art. 28 Abs. 3 S. 2 lit. g DSGVO)

(1) Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten 30 Tage lang als Export (JSON) abrufen. Meldescheine, deren Aufbewahrungsfrist nach § 30 Abs. 4 BMG noch läuft, stellt der Auftragsverarbeiter vor der Löschung als Sammel-PDF zum Download bereit (Rückgabe); die weitere Aufbewahrung obliegt dann dem Verantwortlichen.

(2) Danach löscht der Auftragsverarbeiter alle Auftragsdaten, soweit nicht das Unionsrecht oder das deutsche Recht eine Speicherung vorschreibt. Datensicherungen werden mit ihrem regulären Rotationszyklus (höchstens 30 Generationen) überschrieben; bis dahin sind sie verschlüsselt und werden nicht für andere Zwecke genutzt. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

(3) Unabhängig vom Vertragsende gilt während der Laufzeit:

1. Meldescheine werden ein Jahr ab dem Abreisetag aufbewahrt und danach innerhalb von drei Monaten vernichtet (§ 30 Abs. 4 BMG). EVRIO löscht den verschlüsselten Inhalt automatisch am Tag nach Ablauf der Jahresfrist und behält nur einen Eintrag ohne personenbezogenen Inhalt als Löschnachweis.

2. Gastdaten von Aufenthalten werden nach der vom Verantwortlichen eingestellten Frist (90 bis 1.095 Tage nach Abreise, Standard 365 Tage) anonymisiert, soweit kein Schadensfall offen ist.

3. Ergebnisse der Identitätsprüfung werden 30 Tage nach Abreise gelöscht; die Sitzung bei Stripe wird nach Abschluss geschwärzt.

Die automatische Ausführung dieser Fristen wird über einen täglichen Wartungslauf gesteuert. Ist er vorübergehend angehalten, führt der Auftragsverarbeiter fällige Löschungen manuell und dokumentiert durch.

§ 11 Haftung und Rangfolge

Für die Haftung gilt Art. 82 DSGVO, im Übrigen die Haftungsregelung des Hauptvertrags. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.

§ 12 Abgrenzung

Keine Auftragsverarbeitung, sondern eigene Verantwortlichkeit liegt vor bei:

1. Pflichten des Auftragsverarbeiters als Anbieter eines Online-Marktplatzes (§ 312l BGB, Art. 246d EGBGB) und nach der Verordnung (EU) 2022/2065 (Digital Services Act);

2. Pflichten nach dem Plattformen-Steuertransparenzgesetz (PStTG) gegenüber dem Bundeszentralamt für Steuern; sie betreffen Daten des Verantwortlichen als Anbieter;

3. eigenen steuerlichen Aufzeichnungen und Rechnungen des Auftragsverarbeiters (§ 147 AO, § 257 HGB, § 14b UStG);

4. Zahlungsdaten, die Stripe als eigener Verantwortlicher verarbeitet, sowie dem Vertrag zwischen Verantwortlichem und Stripe (Connected Account Agreement);

5. dem Postfachanbieter des Verantwortlichen (z. B. Google, Microsoft); EVRIO greift in dessen Auftrag nur lesend zu; der Anbieter ist Dienstleister des Verantwortlichen.

§ 13 Schlussbestimmungen

(1) Änderungen dieses Vertrags bietet der Auftragsverarbeiter in Textform an; sie gelten erst nach ausdrücklicher Annahme durch den Verantwortlichen. Eine Änderung der Anlage 2 richtet sich nach § 6.

(2) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit – Verschlüsselung

• Transport: ausschließlich HTTPS (TLS) über Reverse-Proxy, HSTS ein Jahr, sichere Cookies.
• Feldverschlüsselung: Meldescheininhalte einschließlich Unterschrift, Zugangs-, Schlüsselbox- und Smart-Lock-Codes, WLAN-Passwörter, Gästelink-Token, Kalenderadressen, OAuth-Token, API-Schlüssel, MFA-Geheimnisse, Mail-Outbox-Inhalte. Schlüsselring mit Schlüssel-ID und Rotation (owner_secrets, master_key_rotation).
• Datensicherungen: AES-256 mit HMAC-SHA256, Schlüsselableitung PBKDF2 mit 210.000 Iterationen.
• Passwörter: Argon2id-Hashes.

2. Vertraulichkeit – Zugang und Zugriff

• Rollen Gastgeber, Mitarbeitende, Gast; Zwei-Faktor-Authentifizierung für Gastgeber; begrenzte aktive Sitzungen; Sitzungsbereinigung; Ratenbegrenzung.
• Mandantentrennung: jede Abfrage ist an das Gastgeberkonto gebunden; Zugehörigkeit von Unterkunft und Aufenthalt wird vor jedem Zugriff geprüft; Datenbank-Trigger verhindern Zuordnung über Mandantengrenzen.
• Gästezugang über verschlüsselte Einladungs-Token mit zwei Faktoren (Buchungscode und Anreisedatum oder Nachname), einheitliche Fehlermeldungen, Ratenlimits.
• Zugangscodes werden nur nach Freigabe und im Anreisefenster ausgegeben, auf allen Wegen einschließlich der Gäste-KI; im Protokoll nur maskiert.
• Administrativer Serverzugang nur für den Geschäftsführer und namentlich benannte Personen per SSH-Schlüssel; Berechtigungen nach dem Prinzip der minimalen Rechte.

3. Trennung und Datenminimierung bei KI

• Die Gäste-KI erhält nur freigegebene Gästeinhalte; interne Gastgeber-, Finanz-, Mitarbeiter- und Mandantendaten sind technisch ausgeschlossen (Gast-Informationsrichtlinie, fest begrenzte Felder in Antwortnachweisen).
• Meldeschein- und Identitätsdaten werden keiner KI zugänglich gemacht.
• Anfragen an den KI-Anbieter mit "store: false"; vor der Übersetzung werden erkennbare Codes, Passwörter, IBAN, Kartennummern und Telefonnummern durch Platzhalter ersetzt.
• Gäste werden vor der Nutzung darauf hingewiesen, dass sie mit einem KI-System interagieren (Art. 50 Abs. 1 Verordnung (EU) 2024/1689).
• Sprachausgabe (Piper) läuft lokal auf dem Server; Texte verlassen den Server dafür nicht.

4. Integrität

• Unveränderliche Nachweise (Zustimmungen, Löschprotokolle, Rechnungen) durch Datenbank-Trigger.
• Prüfsummen für Vertragsdokumente und Sicherungen; signierte und idempotente Webhooks.
• Audit-Ereignisse je Gastgeberkonto ohne Inhalte von Codes oder Gastnachrichten.

5. Verfügbarkeit und Belastbarkeit

• Automatische verschlüsselte Sicherungen (Standard alle 24 Stunden, 14 Generationen), Wiederherstellung je Mandant, Gesundheitsprüfungen und Systemdiagnose.
• Rechenzentrum in Deutschland (Hetzner, ISO 27001).

6. Löschung und Fristen

• Technische Protokolle 14 Tage; Mail-Zustellprotokolle 90 Tage; eingehende Mails 180 Tage; Gastsitzungen 30 Tage; Sprachaufnahmen höchstens 180 Tage; Gastdaten nach Einstellung (Standard 365 Tage nach Abreise); Meldescheine 1 Jahr nach Abreise; Identitätsergebnis 30 Tage nach Abreise.

7. Organisation

• Schriftliche Vertraulichkeitsverpflichtung aller Personen mit Datenzugriff.
• Datenpannen-Prozess mit 24-Stunden-Meldung an Verantwortliche und 72-Stunden-Frist gegenüber der Aufsichtsbehörde.
• Überprüfung dieser Maßnahmen mindestens jährlich und nach jeder wesentlichen Änderung; Ergebnis wird dokumentiert.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

1. Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland
Leistung: Server-Hosting, Speicherung aller Auftragsdaten und Sicherungen.
Ort: Deutschland. Keine Drittlandübermittlung.

2. OpenAI Ireland Ltd., 117–126 Sheriff Street Upper, Dublin 1, Irland
Leistung: Antworten des KI-Gästeassistenten, Übersetzung von Nachrichten, Transkription von Spracheingaben.
Daten: Gästefragen und Nachrichtentexte (maskiert), freigegebenes Unterkunftswissen, Audio der Spracheingabe (flüchtig).
Drittland: Weiterverarbeitung durch OpenAI, L.L.C., USA, auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO), hilfsweise Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Anfragen ohne Speicherung zu Trainingszwecken ("store: false").

3. Stripe Payments Europe, Limited und Stripe Technology Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland
Leistung: Online-Zahlung von Extras auf das Stripe-Konto des Verantwortlichen (Direct Charges), Erstattungen; freiwillige Identitätsprüfung (Stripe Identity).
Daten: Titel und Betrag des Extras, interne IDs; bei Identity die vom Gast direkt bei Stripe erfassten Ausweis- und Bilddaten.
Drittland: Stripe, Inc., USA, auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO), hilfsweise Standardvertragsklauseln.
Hinweis: Für die Zahlungsabwicklung selbst ist Stripe eigener Verantwortlicher (§ 12 Nr. 4).

4. 650 Industries, Inc. (Expo), 2001 Van Ness Avenue, San Francisco, CA 94109, USA
Leistung: Zustellung von Push-Mitteilungen an Gast- und Mitarbeitergeräte (Weiterleitung an Apple und Google).
Daten: Push-Token, Text der Mitteilung.
Drittland: USA, auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO), soweit zertifiziert, sonst Standardvertragsklauseln.

5. E-Mail-Versand und -Empfang: IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland
Leistung: Versand von System- und Einladungsmails, Empfang von Antworten der Gäste.
Ort: Deutschland/EU.
Eingesetzt wird nur der tatsächlich konfigurierte Mailanbieter. Optional kann statt IONOS die Sendinblue GmbH (Brevo), Köpenicker Straße 126, 10179 Berlin, eingesetzt werden; ein Wechsel erfolgt nach § 6 Abs. 2.

Keine Unterauftragsverarbeitung: lokale Sprachausgabe (Piper), selbst betriebene Ratenbegrenzung (Redis), öffentliche Karten-, Wetter- und Ortsdienste, an die nur Koordinaten oder Adressen der Unterkunft, nicht aber Gastdaten übermittelt werden.