AVV

Verantwortlicher / Auftraggeber

Verantwortlicher ist der im zustande gekommenen Hauptvertrag als Auftraggeber bezeichnete Rechtsträger des betreuten Gastronomiebetriebs. Seine Identität und Anschrift ergeben sich aus den vereinbarten Vertragsunterlagen, insbesondere dem angenommenen Angebot, der Bestellung und einer gegebenenfalls erteilten Auftragsbestätigung.

Bei einem Einzelunternehmen ist der als Auftraggeber handelnde Inhaber Vertragspartner. Eine bloße Restaurant-, Marken- oder Standortbezeichnung ersetzt nicht die eindeutige Bezeichnung des Rechtsträgers.

Nachfolgend wird dieser Vertragspartner als „Auftraggeber“ bezeichnet.

Auftragsverarbeiter

Teaming Up GmbH
Ludwig-Erhard-Straße 6
20459 Hamburg

Kontakt: partner@gastro.teaming-up.com

Nachfolgend „TEAMING UP“.

Auftraggeber und TEAMING UP werden einzeln als „Partei“ und gemeinsam als „Parteien“ bezeichnet.

Präambel

TEAMING UP erbringt für den Auftraggeber die im Hauptvertrag vereinbarten Leistungen im Bereich des digitalen Gästemanagements und der E-Mail-Kampagnenbetreuung. Soweit dabei personenbezogene Daten im Auftrag verarbeitet werden, konkretisiert diese Vereinbarung die datenschutzrechtlichen Rechte und Pflichten der Parteien.

Diese Vereinbarung einschließlich ihrer Anhänge ist Anlage zu den AGB für „Teaming Up – Gastro Partner“ und wird bei wirksamer Einbeziehung gemeinsam mit dem Hauptvertrag vereinbart.

Sie gilt auch während einer vereinbarten Test- oder Einrichtungsphase, sobald personenbezogene Daten im Auftrag verarbeitet werden. Der bloße Erwerb eines Produkts ohne Auftragsverarbeitung, etwa eines nicht personalisierten Flyer- oder Aufstellerpakets, begründet keine Verarbeitungspflichten nach dieser Vereinbarung.

§ 1 Gegenstand, Umfang und Dauer

(1) TEAMING UP verarbeitet personenbezogene Daten ausschließlich zur Durchführung der beauftragten Leistungen und nach Maßgabe dieser Vereinbarung. Gegenstand, Zwecke, Verarbeitungsvorgänge, Datenarten und betroffene Personengruppen ergeben sich aus Anhang 1.

(2) Der Gästeversand erfolgt ausschließlich über Systeme und Benutzerkonten, die der Auftraggeber bereitstellt oder unmittelbar bei einem Anbieter unterhält. TEAMING UP setzt hierfür keine eigenen Versanddienstleister ein.

(3) Die Verarbeitung beginnt frühestens mit wirksamer Vereinbarung dieser Auftragsverarbeitungsregelung und der Aufnahme der entsprechenden Verarbeitungsleistungen. Sie dauert grundsätzlich für die Laufzeit der beauftragten Leistungen einschließlich vereinbarter Verlängerungen. Erforderliche Abwicklungs-, Rückgabe-, Löschungs- und Nachweispflichten bestehen darüber hinaus fort.

(4) Diese Vereinbarung berechtigt TEAMING UP nicht, personenbezogene Gästedaten für eigene Werbung, Adresshandel, eigene kundenübergreifende Analysen, die Kampagnen anderer Auftraggeber oder sonstige eigene Zwecke zu verwenden.

(5) Die Verarbeitung von Vertrags-, Ansprechpartner-, Abrechnungs- und Zahlungsdaten zur eigenen Vertragsverwaltung durch TEAMING UP ist nicht Gegenstand dieser Auftragsverarbeitung. Für diese Verarbeitung gelten die jeweils einschlägigen gesetzlichen Anforderungen und Datenschutzhinweise.

§ 2 Rollen und Verantwortlichkeit

(1) Der Auftraggeber ist hinsichtlich der beauftragten Gästeverarbeitung Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. TEAMING UP verarbeitet die Daten als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

(2) Der Auftraggeber bestimmt die Zwecke und wesentlichen Rahmenbedingungen der Verarbeitung. Hierzu gehören insbesondere die zulässigen Datenarten, die betroffenen Personengruppen, die freigegebenen Angebote, die zulässige Gästeansprache, die vorgesehenen Empfänger und die Vorgaben zur Aufbewahrung.

(3) Innerhalb dieser dokumentierten Vorgaben darf TEAMING UP die operative Durchführung organisieren. Dazu gehören insbesondere die sprachliche und gestalterische Ausarbeitung, die sachgerechte Auswahl von Zielgruppen sowie die Steuerung von Versandzeitpunkten und Kontaktfrequenzen innerhalb des freigegebenen Rahmens.

(4) Eine eigenständige Änderung der Verarbeitungszwecke durch TEAMING UP ist nicht gestattet. Ausschließlich automatisierte Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Gäste sind nicht Gegenstand dieses Auftrags.

(5) Weichen Auftraggeber und tatsächlicher datenschutzrechtlich Verantwortlicher voneinander ab, müssen die Rollen und die wirksame vertragliche Einbindung des Verantwortlichen vor Aufnahme der betreffenden Verarbeitung geklärt werden. Mehrere rechtlich selbstständige Gastronomiebetreiber werden nicht allein durch eine gemeinsame Betriebs- oder Markenbezeichnung Vertragspartei.

§ 3 Weisungen

(1) TEAMING UP verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers. Dies gilt auch für Übermittlungen an Drittländer oder internationale Organisationen. Abweichungen sind nur zulässig, soweit das Unionsrecht oder das Recht eines Mitgliedstaats, dem TEAMING UP unterliegt, die Verarbeitung vorschreibt. In diesem Fall informiert TEAMING UP den Auftraggeber vor der Verarbeitung, sofern die gesetzliche Regelung eine solche Information nicht aus wichtigen öffentlichen Interessen untersagt.

(2) Als dokumentierte Weisungen gelten insbesondere diese Vereinbarung, die vereinbarte Leistungsbeschreibung, dokumentierte Onboarding-Festlegungen, freigegebene Kampagnen, eindeutig zuordenbare Systemeinstellungen und Mitteilungen in Textform. Mündlich erteilte Weisungen sind in Textform zu bestätigen.

(3) Weisungen dürfen den vereinbarten Leistungsumfang konkretisieren. Eine Erweiterung der beauftragten Leistungen oder Verarbeitungszwecke bedarf einer entsprechenden Vereinbarung. Gesetzlich erforderliche Unterstützungsleistungen dürfen nicht allein unter Berufung auf einen fehlenden Zusatzauftrag verweigert werden.

(4) Hält TEAMING UP eine Weisung für datenschutzrechtswidrig, informiert sie den Auftraggeber unverzüglich und setzt die betroffene Verarbeitung aus, soweit andernfalls eine rechtswidrige Verarbeitung droht. Die Ausführung wird erst fortgesetzt, wenn die Bedenken rechtmäßig ausgeräumt oder die Weisung entsprechend geändert wurde. Eine bloße Bestätigung einer weiterhin rechtswidrigen Weisung genügt nicht.

(5) Weisungsberechtigte Ansprechpartner und Weisungsempfänger ergeben sich aus Anhang 4 und den dort vorgesehenen Benennungen.

§ 4 Pflichten von TEAMING UP

(1) TEAMING UP beschränkt den Zugriff auf Auftragsdaten auf diejenigen Personen, die ihn zur Erfüllung ihrer Aufgaben benötigen. Die befugten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht.

(2) TEAMING UP trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die für den vereinbarten Verarbeitungsumfang vorgesehenen Maßnahmen sind in Anhang 2 beschrieben.

(3) TEAMING UP unterstützt den Auftraggeber angesichts der Art der Verarbeitung nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Anträgen auf Wahrnehmung der Betroffenenrechte nach Kapitel III DSGVO.

(4) Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt TEAMING UP den Auftraggeber bei seinen Pflichten nach Art. 32 bis 36 DSGVO. Dies umfasst insbesondere die erforderliche Mitwirkung bei Sicherheitsvorfällen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.

(5) Direkt bei TEAMING UP eingehende Betroffenenanfragen zu Auftragsdaten werden unverzüglich an den Auftraggeber weitergeleitet. Eine eigenständige inhaltliche Beantwortung erfolgt nur auf dokumentierte Weisung oder aufgrund einer eigenen gesetzlichen Verpflichtung.

(6) TEAMING UP führt die gesetzlich erforderlichen Verzeichnisse und Dokumentationen und arbeitet im gesetzlich vorgesehenen Umfang mit den zuständigen Aufsichtsbehörden zusammen.

§ 5 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der beauftragten Verarbeitung, die erforderlichen Rechtsgrundlagen und die Erfüllung der ihn treffenden Informationspflichten verantwortlich. Er stellt insbesondere sicher, dass erforderliche Werbeeinwilligungen wirksam, nachweisbar und für die vorgesehenen Maßnahmen ausreichend sind.

(2) Der Auftraggeber stellt nur die für die beauftragten Zwecke erforderlichen Daten bereit und erteilt ausschließlich rechtmäßige Weisungen. Er sorgt im eigenen Verantwortungsbereich für zutreffende und aktuelle Angaben.

(3) Angebote, Aktionen, wirtschaftliche Konditionen und die wesentlichen Vorgaben der Gästeansprache werden durch den Auftraggeber festgelegt oder nachweisbar freigegeben.

(4) Der Auftraggeber stellt die erforderlichen Zugänge, Berechtigungen und Informationen zu seinen Systemen bereit. Er sorgt für die notwendige datenschutzrechtliche Einbindung der von ihm unmittelbar beauftragten Anbieter.

(5) Bekannt gewordene Widerrufe, Werbewidersprüche, Berichtigungs- oder Löschungsanforderungen und erkennbare Datenschutzprobleme teilt der Auftraggeber TEAMING UP rechtzeitig mit, soweit TEAMING UP sie bei der Auftragsverarbeitung berücksichtigen muss.

(6) Die Pflichten des Auftraggebers lassen die eigenen gesetzlichen und vertraglichen Datenschutzpflichten von TEAMING UP unberührt.

§ 6 Vertraulichkeit und berechtigte Personen

(1) TEAMING UP setzt zur Verarbeitung nur Personen ein, die entsprechend ihrer Tätigkeit unterwiesen und zur Vertraulichkeit verpflichtet sind oder einer geeigneten gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeit besteht über das Ende der Tätigkeit hinaus.

(2) Zugriffsrechte werden nach Aufgabenbedarf vergeben, regelmäßig und anlassbezogen überprüft und bei Wegfall der Erforderlichkeit entzogen.

(3) Daten verschiedener Auftraggeber werden organisatorisch und technisch getrennt behandelt. Eine Zusammenführung für eigene Zwecke von TEAMING UP oder für Maßnahmen anderer Auftraggeber ist nicht gestattet.

§ 7 Sicherheit der Verarbeitung

(1) Das Schutzniveau richtet sich nach Art. 32 DSGVO. Berücksichtigt werden insbesondere der Stand der Technik, die Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie die Risiken für die Rechte und Freiheiten betroffener Personen.

(2) Anhang 2 beschreibt die von TEAMING UP im eigenen Verantwortungsbereich umzusetzenden Schutzmaßnahmen. Die Verantwortung für den allgemeinen Betrieb unmittelbar vom Auftraggeber beauftragter Systeme wird dadurch nicht auf TEAMING UP übertragen.

(3) TEAMING UP überprüft die Wirksamkeit der eigenen Maßnahmen regelmäßig und anlassbezogen. Maßnahmen dürfen an technische und organisatorische Entwicklungen angepasst werden, wenn das vereinbarte Schutzniveau nicht unterschritten wird.

(4) Änderungen, die das vereinbarte Schutzniveau wesentlich nachteilig beeinflussen, dürfen nicht allein auf Grundlage des Anpassungsrechts nach Absatz 3 vorgenommen werden. Sie bedürfen einer vorherigen rechtmäßigen Abstimmung.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1) TEAMING UP informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, soweit Auftragsdaten betroffen sind.

(2) Die Information enthält, soweit verfügbar, eine Beschreibung des Vorfalls, der betroffenen Daten- und Personenkategorien, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgesehenen Abhilfemaßnahmen. Eine erreichbare Kontaktstelle wird benannt. Noch nicht verfügbare erforderliche Informationen werden ohne unangemessene Verzögerung nachgereicht.

(3) TEAMING UP ergreift im eigenen Verantwortungsbereich angemessene Maßnahmen zur Begrenzung und Behebung des Vorfalls und unterstützt den Auftraggeber im gesetzlich vorgesehenen Umfang.

(4) Meldungen an Aufsichtsbehörden oder betroffene Personen im Namen des Auftraggebers erfolgen nur auf dessen Weisung oder aufgrund einer eigenen gesetzlichen Verpflichtung.

(5) Die Regelungen der AGB über die Absendung oder Bereitstellung gewöhnlicher Kampagnenstatistiken begrenzen die gesetzlichen Mitteilungs- und Unterstützungspflichten bei Datenschutzvorfällen nicht.

§ 9 Weitere Auftragsverarbeiter

(1) TEAMING UP darf weitere Auftragsverarbeiter nur mit vorheriger gesonderter oder allgemeiner dokumentierter Genehmigung des Auftraggebers einsetzen. Eine elektronische Genehmigung ist ausreichend.

(2) Soweit in der gemeinsam vereinbarten Fassung des Anhangs 3 konkrete weitere Auftragsverarbeiter aufgeführt sind, erteilt der Auftraggeber mit Abschluss dieser Vereinbarung die Genehmigung für deren dort beschriebenen Einsatz.

(3) Bei einer allgemein genehmigten Unterauftragsverarbeitung informiert TEAMING UP den Auftraggeber vor einer beabsichtigten Hinzuziehung oder Ersetzung über den Anbieter, dessen Tätigkeit, die betroffenen Daten und die vorgesehenen Verarbeitungsorte. Die Information erfolgt so rechtzeitig, dass der Auftraggeber eine angemessene Möglichkeit zur Prüfung und zum datenschutzrechtlich begründeten Widerspruch hat. Bei einem solchen Widerspruch wird der betroffene Einsatz bis zur Klärung nicht aufgenommen.

(4) TEAMING UP verpflichtet weitere Auftragsverarbeiter vertraglich zu den für ihre Tätigkeit maßgeblichen Datenschutzpflichten dieser Vereinbarung und stellt die nach Art. 28 Abs. 4 DSGVO erforderlichen Garantien sicher. TEAMING UP bleibt gegenüber dem Auftraggeber für die Erfüllung dieser Pflichten durch den weiteren Auftragsverarbeiter verantwortlich.

(5) Leistungen ohne Auftragsverarbeitung werden nicht allein durch ihre Inanspruchnahme zu Unterauftragsverhältnissen. Maßgeblich sind die tatsächliche Tätigkeit und der damit verbundene Umgang mit Auftragsdaten.

(6) Diese Regelung gestattet keinen Einsatz eigener Versanddienstleister für den Gästeversand entgegen § 1 Absatz 2.

§ 10 Kundensysteme und unmittelbar beauftragte Anbieter

(1) Anbieter, mit denen der Auftraggeber selbst das Vertragsverhältnis über ein bereitgestelltes System unterhält, sind nicht allein deshalb Unterauftragsverarbeiter von TEAMING UP, weil TEAMING UP dieses System im Auftrag bedient oder die eingeräumten Zugänge nutzt.

(2) Der Auftraggeber stellt TEAMING UP die für die vereinbarte Tätigkeit erforderlichen Benutzerkonten oder Zugriffsrechte bereit. Der Abschluss einer erforderlichen Vereinbarung zur Auftragsverarbeitung zwischen dem Auftraggeber und seinem unmittelbar beauftragten Anbieter obliegt dem Auftraggeber.

(3) TEAMING UP übernimmt weder den allgemeinen Betrieb dieser Systeme noch eine zusätzliche technische Garantie für deren Verfügbarkeit, Funktionsfähigkeit, Fehlerfreiheit oder dauerhafte Bereitstellung. Maßgeblich bleiben die im Hauptvertrag vereinbarten Tätigkeiten.

(4) TEAMING UP ist für die sichere und weisungsgemäße Nutzung der eigenen Arbeitsmittel und der eingeräumten Zugänge verantwortlich. Die Abgrenzung zum Systemanbieter schließt eigene Einrichtungs-, Bedienungs- oder Datenschutzfehler von TEAMING UP nicht aus.

(5) Erlangt TEAMING UP Kenntnis von erheblichen Sicherheitsmängeln oder konkreten datenschutzrechtlichen Bedenken bei einem Kundensystem, informiert sie den Auftraggeber und setzt die betroffene Verarbeitung aus, soweit ihre Fortführung rechtswidrig wäre.

(6) Ob tatsächlich ein unmittelbares Kundenverhältnis oder eine Unterauftragsverarbeitung durch TEAMING UP vorliegt, richtet sich nach den tatsächlichen Vertrags- und Leistungsbeziehungen. Eine bloße Bezeichnung als „Kundensystem“ ersetzt diese Abgrenzung nicht.

§ 11 Verarbeitungsorte und Drittlandübermittlungen

(1) Die vorgesehenen Verarbeitungsorte und gegebenenfalls zugelassenen Fernzugriffe ergeben sich aus der dokumentierten Systemfreigabe und den Angaben zu weiteren Auftragsverarbeitern. Nicht dokumentierte Drittlandverarbeitungen werden durch diese Vereinbarung nicht genehmigt.

(2) Übermittlungen an Drittländer oder internationale Organisationen erfolgen nur auf dokumentierte Weisung des Auftraggebers beziehungsweise aufgrund einer gesetzlichen Verpflichtung nach § 3 Absatz 1 und unter Einhaltung der jeweils anwendbaren Voraussetzungen des Kapitels V DSGVO.

(3) Die Weisung des Auftraggebers ersetzt weder einen erforderlichen Angemessenheitsbeschluss noch notwendige geeignete Garantien oder sonstige gesetzliche Voraussetzungen einer Drittlandübermittlung.

(4) Die Pflichten gelten auch bei zulässigem Einsatz weiterer Auftragsverarbeiter. Erforderliche Informationen und Nachweise werden dem Auftraggeber im gesetzlich geschuldeten Umfang zur Verfügung gestellt.

§ 12 Nachweise und Kontrollen

(1) TEAMING UP stellt dem Auftraggeber die nach Art. 28 Abs. 3 Buchst. h DSGVO erforderlichen Informationen zum Nachweis der Einhaltung ihrer Pflichten bei der vereinbarten Auftragsverarbeitung zur Verfügung. Gegenstand sind die Verarbeitungstätigkeiten und Schutzmaßnahmen von TEAMING UP einschließlich der hierfür eingesetzten Arbeitsmittel und Zugänge sowie gegebenenfalls eingesetzter weiterer Auftragsverarbeiter.

Die Nachweise können durch geeignete Dokumentationen und Auskünfte erbracht werden. Bereits vorhandene Prüfberichte oder Zertifikate können ergänzend verwendet werden. Eine Verpflichtung zur Beschaffung bestimmter Zertifikate oder zur Beauftragung externer Gutachten wird durch diese Regelung nicht begründet. Gesetzlich erforderliche Dokumentations- und Nachweispflichten bleiben unberührt.

Eine allgemeine technische oder datenschutzrechtliche Prüfung der vom Auftraggeber unmittelbar beauftragten Systeme und Anbieter wird dadurch nicht übernommen. Die Verantwortung für deren Auswahl und datenschutzrechtliche Einbindung verbleibt beim Auftraggeber. Die eigenen Pflichten von TEAMING UP zur sicheren und weisungsgemäßen Nutzung dieser Systeme sowie die gesetzlichen Informations-, Unterstützungs- und Hinweispflichten bleiben unberührt.

(2) TEAMING UP ermöglicht erforderliche Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten Prüfer und trägt hierzu bei. Vorhandene Nachweise können zur Vermeidung unnötiger Doppelprüfungen berücksichtigt werden, ersetzen aber nicht erforderliche weitere Kontrollen.

(3) Kontrollen erfolgen grundsätzlich nach angemessener Vorankündigung und während üblicher Geschäftszeiten. Dringende, anlassbezogene Kontrollen und gesetzliche Befugnisse der Aufsichtsbehörden bleiben unberührt. Geschäftsgeheimnisse und Daten anderer Auftraggeber sind zu schützen.

(4) Der Auftraggeber trägt grundsätzlich seine eigenen Prüfungs- und Prüferkosten. Eine zusätzliche Vergütung für besondere Unterstützungsleistungen von TEAMING UP bedarf einer entsprechenden Vereinbarung. Die Ausübung gesetzlicher Kontrollrechte darf nicht durch unangemessene Kosten oder eine ausstehende Vergütungsvereinbarung verhindert werden. Gesetzliche Ansprüche wegen festgestellter Pflichtverletzungen bleiben unberührt.

§ 13 Berichtigung, Einschränkung, Rückgabe und Löschung

(1) TEAMING UP berichtigt, beschränkt oder löscht Auftragsdaten nach dokumentierter Weisung des Auftraggebers, soweit keine unmittelbar geltende gesetzliche Pflicht eine andere Verarbeitung verlangt.

(2) Nach Abschluss der Verarbeitungsleistungen gibt TEAMING UP die personenbezogenen Auftragsdaten nach Wahl des Auftraggebers zurück oder löscht sie und löscht vorhandene eigene Kopien. Gesetzliche Speicherungspflichten nach dem Unionsrecht oder dem Recht eines Mitgliedstaats bleiben unberührt.

(3) Datenbestände, die sich bereits unter der unmittelbaren Kontrolle des Auftraggebers in dessen eigenen Systemen befinden, werden nicht allein wegen der Vertragsbeendigung gelöscht. TEAMING UP beendet die eigene Nutzung und entfernt beziehungsweise deaktiviert die in ihrem Einflussbereich stehenden Zugangsmöglichkeiten. Der Auftraggeber entzieht die von ihm verwalteten Berechtigungen.

(4) Soweit eine Rückgabe erforderlich ist, erfolgt sie in einem vorhandenen, gebräuchlichen elektronischen Format. Eine zusätzliche Systemmigration, individuelle Datenumgestaltung oder dauerhafte technische Nachbetreuung wird dadurch nicht begründet.

(5) Eigene Exporte, temporäre Dateien und andere Kopien werden nach Abschluss der erforderlichen Rückgabe und Abwicklung gelöscht. Eine technisch erforderliche zeitversetzte Entfernung aus Sicherungen darf nur im rechtlich zulässigen Umfang und innerhalb eines dokumentierten Löschzyklus erfolgen. Bis dahin dürfen die betreffenden Daten nicht produktiv weiterverwendet werden.

(6) Gesetzlich aufzubewahrende Auftragsdaten werden auf den erforderlichen Umfang beschränkt, geschützt und ausschließlich für den gesetzlichen Aufbewahrungszweck verarbeitet. Nach dessen Wegfall werden sie gelöscht. Auf Verlangen bestätigt TEAMING UP die erfolgte Löschung in Textform.

(7) Auftragsdaten dürfen nicht zur Sicherung eigener Vergütungsforderungen zurückbehalten oder zu eigenen Zwecken weitergenutzt werden.

§ 14 Haftung

(1) Für die Haftung im Verhältnis zwischen den Parteien gelten ergänzend die Regelungen des Hauptvertrags, soweit sie zwingende datenschutzrechtliche Pflichten und Ansprüche nicht beschränken.

(2) Die Verantwortlichkeit und Haftung gegenüber betroffenen Personen richten sich insbesondere nach Art. 82 DSGVO. Ein gesetzlicher interner Ausgleich richtet sich nach dem jeweiligen Verantwortungsanteil.

(3) Diese Vereinbarung begründet keine zusätzliche verschuldensunabhängige Garantie für einen vollständig störungs- oder vorfallsfreien Betrieb. Gesetzliche Sicherheits-, Unterstützungs-, Kontroll- und Haftungspflichten bleiben unberührt.

(4) Rechte betroffener Personen und Befugnisse der Aufsichtsbehörden werden durch diese Vereinbarung nicht eingeschränkt.

§ 15 Einbeziehung, Laufzeit und Schlussbestimmungen

(1) Diese Vereinbarung einschließlich ihrer Anhänge wird bei wirksamer Einbeziehung gemeinsam mit dem Hauptvertrag geschlossen. Eine gesonderte handschriftliche Unterzeichnung oder ein zusätzlicher Unterschriftsvorgang ist nicht erforderlich. Der vereinbarte Inhalt und sein Abschluss müssen schriftlich oder elektronisch dokumentiert sein.

(2) Die bloße Veröffentlichung auf einer Website oder die bloße Überlassung von Daten ersetzt die erforderliche verbindliche Vereinbarung nicht. Für die Aufnahme der Verarbeitung gilt § 1 Absatz 3.

(3) Maßgeblich ist die bei Vertragsschluss vereinbarte Fassung. Spätere Websiteänderungen ändern diese Vereinbarung nicht automatisch. Die ausdrücklich geregelten Verfahren für zulässige Anpassungen von Schutzmaßnahmen und den Einsatz weiterer Auftragsverarbeiter bleiben bestehen.

(4) Die Vereinbarung gilt für die Dauer der Auftragsverarbeitung einschließlich erforderlicher Abwicklung. Sie endet hinsichtlich der Verarbeitung, sobald diese abgeschlossen und die erforderlichen Rückgabe- und Löschungsmaßnahmen durchgeführt sind. Fortgeltende Vertraulichkeits- und Nachweispflichten bleiben bestehen.

(5) Bei Widersprüchen gehen die datenschutzrechtlichen Regelungen dieser Vereinbarung für die Auftragsverarbeitung abweichenden standardisierten Regelungen des Hauptvertrags vor. Zwingendes Datenschutzrecht bleibt maßgeblich.

(6) Änderungen und Ergänzungen werden in einem schriftlichen oder elektronischen Format vereinbart und dokumentiert. Es gelten das im Hauptvertrag vereinbarte Recht und die dortige zulässige Gerichtsstandsregelung. Bei unwirksamen Bestimmungen treten die gesetzlichen Regelungen an deren Stelle.

Anhang 1 – Beschreibung der Verarbeitung

1. Gegenstand und Zwecke

Gegenstand ist die Durchführung der vereinbarten Gästekontaktverwaltung und E-Mail-Kampagnenbetreuung in den vom Auftraggeber bereitgestellten Systemen.

Die Zwecke umfassen die Verwaltung und Aktualisierung relevanter Gästekontakte, die Berücksichtigung von Einwilligungen und Sperren, die Auswahl geeigneter Zielgruppen innerhalb der freigegebenen Vorgaben, die Veranlassung freigegebener E-Mail-Nachrichten sowie die Auswertung verfügbarer Kampagnenergebnisse für den Auftraggeber.

Eine SMS-Kommunikation ist nicht Bestandteil dieses Verarbeitungsumfangs.

2. Verarbeitungsvorgänge

Erfasst sind, soweit für die beauftragte Leistung erforderlich: Einsehen, Erfassen, Ordnen, Aktualisieren, Abgleichen, Selektieren, Speichern, Übermitteln, Auswerten, Bereitstellen, Einschränken, Zurückgeben und Löschen.

Zusätzliche Speicherung oder Übermittlung außerhalb der freigegebenen Verarbeitungskette ist nicht allein deshalb gestattet, weil entsprechende Daten technisch exportiert werden können.

3. Kategorien betroffener Personen

Betroffen sind Gäste, ehemalige Gäste, Interessenten und Reservierende des Auftraggebers sowie rechtmäßig erfasste Begleitpersonen, soweit deren Daten für die beauftragte Verarbeitung erforderlich sind.

Hinzu kommen berechtigte Beschäftigte und Ansprechpartner des Auftraggebers, soweit ihre Benutzer- oder Protokolldaten bei der Durchführung des Auftrags verarbeitet werden.

4. Datenkategorien

Verarbeitet werden im erforderlichen Umfang:

• Stamm- und Kontaktdaten: Name, Anrede, E-Mail-Adresse und gegebenenfalls bevorzugte Sprache.
• Einwilligungs- und Sperrdaten: Einwilligungstext oder dessen Version, Erfassungsquelle, Zeitpunkte, Bestätigungsstatus, Widerruf, Abmeldung und Sperrvermerke.
• Reservierungs- und Besuchsdaten: Standort, Datum, Uhrzeit, Personenzahl und Status, soweit diese Angaben für Kampagnensteuerung oder Auswertung erforderlich sind.
• Kampagnen- und Interaktionsdaten: Nachrichtenbezug, Versandzeit, Zustell- und Fehlerstatus, rechtmäßig erfasste Öffnungen, Klicks, Antworten sowie verfügbare Zielerreichungsdaten.
• Präferenz- und technische Daten: freiwillig und rechtmäßig bereitgestellte kampagnenrelevante Präferenzen, Nutzerkennungen, Zeitstempel sowie erforderliche System- und Fehlerprotokolle.

Nicht sämtliche Daten eines Kundensystems werden automatisch Gegenstand des Auftrags. Maßgeblich bleiben Erforderlichkeit, Freigabe und Rechtsgrundlage.

5. Besondere Datenkategorien

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind nicht Gegenstand der planmäßigen Verarbeitung.

Solche Angaben, beispielsweise Gesundheitsinformationen in freien Reservierungsnotizen, dürfen nicht ohne gesonderte rechtmäßige Festlegung in Kampagnen übernommen werden. Bei unbeabsichtigter Übermittlung erfolgt die weitere Behandlung nach einer rechtmäßigen Weisung beziehungsweise einer unmittelbar geltenden gesetzlichen Pflicht.

6. Datenfluss und Auswertung

Der Auftraggeber erfasst oder stellt die Gästedaten einschließlich der maßgeblichen Einwilligungs- und Sperrinformationen bereit.

TEAMING UP verarbeitet die erforderlichen Daten innerhalb der freigegebenen Systeme, richtet die vereinbarten Abläufe ein und veranlasst die freigegebene E-Mail-Kommunikation über die Kundensysteme.

Verfügbare Versand-, Interaktions- und Ergebnisdaten werden im zulässigen Umfang ausgewertet. Der Auftraggeber erhält die vereinbarten Ergebnisberichte elektronisch, beispielsweise per E-Mail oder Kundenlogin. Die Berichte werden grundsätzlich zusammengefasst erstellt.

Die Referenzregelung der AGB erlaubt keine eigene werbliche Weiterverarbeitung personenbezogener Gästedaten. Die Verwendung tatsächlich nicht personenbezogener, rechtmäßig vorhandener Kampagnenergebnisse richtet sich nach der entsprechenden AGB-Regelung.

7. Dauer und Umfang

Die Dauer richtet sich nach § 1. Der tatsächliche Umfang hängt von den beauftragten Standorten, den bereitgestellten Gästekontakten und den freigegebenen Kommunikationsabläufen ab. Eine Erfassung zusätzlicher Daten allein zur Erweiterung des Verarbeitungsumfangs ist nicht vorgesehen.

Anhang 2 – Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen bilden den vereinbarten Schutzstandard für die Tätigkeiten von TEAMING UP. Sie betreffen insbesondere eigene Arbeitsmittel, Zugänge, Konfigurationen und gegebenenfalls zulässige eigene Kopien. Sie ersetzen nicht die gesonderten Schutzmaßnahmen der unmittelbar vom Auftraggeber beauftragten Systemanbieter.

1. Schutz von Arbeitsplätzen und Endgeräten

Arbeitsplätze und Geräte mit Zugriff auf Auftragsdaten werden gegen unbefugte Nutzung geschützt. Hierzu gehören kontrollierte Zugänglichkeit, persönliche Benutzeranmeldungen und automatische Bildschirmsperren.

Eigene Endgeräte werden mit aktuellen Sicherheitsupdates und angemessenem Schutz gegen Schadsoftware betrieben. Auftragsdaten auf eigenen mobilen Geräten oder Datenträgern werden durch Verschlüsselung oder ein gleichwertiges risikogerechtes Verfahren geschützt.

2. Zugangs- und Berechtigungskontrolle

Zugriffe erfolgen grundsätzlich über individuell zuordenbare Benutzerkonten und auf den Aufgabenbedarf beschränkte Berechtigungen.

Es werden starke, nicht mehrfach verwendete Zugangsdaten eingesetzt. Administrative und besonders schutzbedürftige Zugänge werden, soweit die Systeme dies unterstützen, durch Mehrfaktor-Authentifizierung abgesichert. Fehlende technische Möglichkeiten sind bei der Risikobeurteilung und der Auswahl geeigneter Ersatzmaßnahmen zu berücksichtigen.

Berechtigungen werden regelmäßig sowie bei Aufgabenwechseln überprüft und bei Wegfall des Bedarfs entzogen.

3. Trennung und Zweckbindung

Daten, Listen, Konfigurationen und Auswertungen verschiedener Auftraggeber werden logisch getrennt.

Produktive Gästedaten werden nicht ohne Erforderlichkeit und geeignete Absicherung für Tests verwendet. Für Entwicklung und Tests werden vorrangig synthetische oder tatsächlich anonymisierte Daten eingesetzt.

Personenbezogene Auftragsdaten werden nicht für eigene Werbung, Adresshandel oder das Training allgemein verfügbarer KI-Modelle verwendet.

4. Übertragung und Zugangsdaten

Die Verbindung zu den freigegebenen Systemen erfolgt über verschlüsselte Übertragungswege, insbesondere HTTPS/TLS oder gleichwertige Verfahren.

Zugangsdaten und API-Schlüssel werden zugriffsbeschränkt gespeichert und nicht in öffentlich zugängliche Dateien, ungeschützte Freigaben oder frei zugängliche Protokolle aufgenommen.

Erforderliche personenbezogene Exporte werden nur an berechtigte Empfänger und über ihrem Schutzbedarf entsprechende Übermittlungswege weitergegeben.

5. Protokollierung und Nachvollziehbarkeit

Sicherheitsrelevante Zugriffe und Änderungen werden im risikogerechten und technisch verfügbaren Umfang nachvollziehbar gemacht.

Protokolle werden gegen unbefugten Zugriff und Veränderung geschützt. Ihr Inhalt und ihre Aufbewahrung werden auf den jeweiligen Zweck begrenzt. Unnötige vollständige Gästedatensätze werden nicht in Diagnoseprotokolle aufgenommen.

6. Verfügbarkeit und Wiederherstellung

Für eigene Arbeitsmittel und zulässig gespeicherte Auftragsdaten werden risikogerechte Schutz- und gegebenenfalls Wiederherstellungsmaßnahmen vorgesehen.

Soweit eigene Sicherungen erforderlich sind, werden sie geschützt und ihre Wiederherstellbarkeit angemessen überprüft. Eine davon unabhängige Sicherung der vollständigen Kundensysteme durch TEAMING UP ist nicht vereinbart.

Der allgemeine Betrieb und die Sicherung unmittelbar beauftragter Kundenplattformen verbleiben beim jeweiligen Anbieter. Eigene datenschutzrechtliche Sicherheits- und Unterstützungspflichten von TEAMING UP bleiben bestehen.

7. Löschung und Datenminimierung

Exporte und temporäre Dateien werden auf das notwendige Maß beschränkt und nach Wegfall ihres zulässigen Zwecks gelöscht.

Einwilligungswiderrufe und Werbewidersprüche werden durch geeignete Sperrinformationen berücksichtigt, soweit deren Aufbewahrung zur Beachtung des Widerspruchs erforderlich und rechtmäßig ist.

Rückgabe und Löschung nach Vertragsende erfolgen gemäß § 13. Erforderliche Löschzyklen von Sicherungen werden dokumentiert.

8. Organisation und Vorfallbehandlung

Befugte Personen werden entsprechend ihrer Aufgaben zum Datenschutz und zur sicheren Nutzung der Systeme unterwiesen.

Für Datenschutzvorfälle bestehen interne Zuständigkeiten sowie Melde- und Bearbeitungswege. Maßnahmen werden regelmäßig und bei relevanten Veränderungen überprüft.

Neue Empfänger oder weitere Auftragsverarbeiter werden nicht ohne die erforderliche datenschutzrechtliche Prüfung und Genehmigung in die Verarbeitung einbezogen.

Anhang 3 – Weitere Auftragsverarbeiter und Kundensysteme

1. Gästeversand

Für den Gästeversand werden keine eigenen Versanddienstleister von TEAMING UP eingesetzt. Die eingesetzten Versandkonten und Anbieter werden vom Auftraggeber unmittelbar beauftragt oder bereitgestellt.

Eine Nutzung eines solchen Kundenkontos durch TEAMING UP begründet allein keine Genehmigung dieses Anbieters als Unterauftragsverarbeiter von TEAMING UP.

2. Weitere eigene Auftragsverarbeiter

In dieser Standardfassung werden keine konkreten weiteren Auftragsverarbeiter benannt oder vorab genehmigt.

Soll TEAMING UP für einen Auftrag weitere eigene Dienstleister mit Auftragsdaten einsetzen, müssen diese vor ihrem Einsatz nach § 9 wirksam einbezogen werden. Hierzu sind zumindest Unternehmensbezeichnung und Anschrift, die konkrete Tätigkeit, betroffene Datenkategorien, Verarbeitungsorte und gegebenenfalls die Grundlage von Drittlandübermittlungen zu dokumentieren.

Dies betrifft insbesondere beauftragte Hosting-, Synchronisations-, Speicher-, Backup- oder Supportleistungen, soweit sie eine Verarbeitung von Auftragsdaten umfassen.

3. Dokumentation der Kundensysteme

Die tatsächlich freigegebenen Kundensysteme ergeben sich aus den dokumentierten Auftrags- und Onboarding-Unterlagen. Die Dokumentation muss eine eindeutige Zuordnung zum Auftraggeber ermöglichen.

Erfasst werden die Anbieter und Systeme, die verwendeten Konten oder Mandanten, der unmittelbare Vertragspartner des Anbieters, die vorgesehenen Tätigkeiten und Zugriffsberechtigungen sowie die relevanten Verarbeitungsorte.

Passwörter und vollständige API-Schlüssel gehören nicht in diese Vertragsanlage oder eine öffentlich zugängliche Dokumentation.

Anhang 4 – Parteien und Ansprechpartner

1. Auftraggeber / Verantwortlicher

Maßgeblich ist der im Hauptvertrag eindeutig bezeichnete Rechtsträger einschließlich seiner dort angegebenen Anschrift.

Weisungsberechtigt sind dessen vertretungsberechtigte Personen sowie weitere Personen, die TEAMING UP durch eine berechtigte Person in Textform als weisungsberechtigt benannt werden.

Ein für operative Abstimmungen benannter Ansprechpartner erhält dadurch nicht automatisch eine Vollmacht zur Änderung des Vertrags oder zur Erweiterung der Verarbeitungszwecke.

2. TEAMING UP / Auftragsverarbeiter

Teaming Up GmbH
Ludwig-Erhard-Straße 6
20459 Hamburg

Kontakt für Weisungen und Datenschutzanliegen:
partner@gastro.teaming-up.com

TEAMING UP kann dem Auftraggeber weitere zuständige Ansprechpartner in Textform benennen.

3. Änderungen

Änderungen von Ansprechpartnern, Zuständigkeiten und Kontaktadressen werden der anderen Partei mitgeteilt. Die Benennung eines anderen Ansprechpartners ändert nicht die Identität der Vertragspartei.