Worum es geht
Dieser Text fasst für Hotels zusammen, was ein Auftragsverarbeitungsvertrag mit der Plattform freestays regeln soll. Betreiber der Plattform ist die SnapNext GmbH & Co. KG. Die Plattform befindet sich vor dem Start. Es besteht noch kein unterzeichneter Vertrag, und dieser Text ersetzt keinen. Die Zuordnung der Rollen steht zur rechtlichen Prüfung an.
Rollen von Hotel und Betreiber
Nicht jede Verarbeitung auf der Plattform ist Auftragsverarbeitung. Vorgesehen ist die folgende Aufteilung nach Datenfluss.
| Datenfluss | Inhalt | Betreiber | Hotel |
|---|---|---|---|
| Konten der Mitarbeitenden | E-Mail, Anzeigename, Rollen, Hauszuordnung | Verantwortlicher | eigenständig Verantwortlicher für Auswahl und Einladung seiner Mitarbeitenden |
| Bewerbungen und Vereinbarungen | Profil, Kanäle, Bewerbung, Vereinbarung und Nachweise der Creator, soweit das Hotel sie sieht | Verantwortlicher | ab Eingang der Bewerbung eigenständig Verantwortlicher |
| Bilder und Logos | Medien, die Personen des Hotels hochladen | Auftragsverarbeiter | Verantwortlicher |
| Benachrichtigungen | Versandprotokoll und E-Mail-Versand | Verantwortlicher | keine Rolle |
Der Auftragsverarbeitungsvertrag soll nach derzeitigem Stand nur den dritten Datenfluss abdecken, also die Bilder und Logos, die das Hotel hochlädt. In den übrigen Datenflüssen ist der Betreiber nach dieser Aufteilung selbst verantwortlich. Vorgesehen ist, dass das Hotel für Creator-Daten ab Erhalt verantwortlich ist und der Betreiber für Konten und den Plattformbetrieb. Ein Vertrag zur Auftragsverarbeitung wird gesondert geschlossen, soweit erforderlich.
Was der Vertrag regeln soll
- Gegenstand, Art und Zweck der Verarbeitung, Datenkategorien und betroffene Personen.
- Verarbeitung nur auf dokumentierte Weisung des Hotels in Textform.
- Vertraulichkeit der Personen, die Zugriff haben.
- Technische und organisatorische Maßnahmen, mit Stand je Maßnahme.
- Unterstützung bei Anfragen betroffener Personen, bei Meldungen von Verletzungen des Schutzes personenbezogener Daten und bei Folgenabschätzungen.
- Auskunfts- und Prüfrechte des Hotels.
- Löschung und Rückgabe am Vertragsende.
Konkrete Fristen stehen im Vertrag. Derzeit angenommen sind: Unterstützung bei Anfragen betroffener Personen binnen 10 Werktagen, Meldung einer Verletzung unverzüglich und spätestens binnen 48 Stunden nach Kenntnis, Prüfung einmal jährlich nach 30 Tagen Vorankündigung.
Änderung von Unterauftragsverarbeitern
Die eingesetzten Dienstleister stehen auf der Seite zu den Unterauftragsverarbeitern. Vorgesehen ist eine allgemeine Genehmigung dieser Liste. Eine Änderung soll dem Hotel 30 Tage vorher in Textform mitgeteilt werden. Das Hotel kann binnen 14 Tagen aus wichtigem Grund widersprechen. Einigen sich die Parteien nicht, soll das Hotel die Nutzung der Plattform außerordentlich kündigen können. Dem Dienstleister sollen im Vertrag dieselben Datenschutzpflichten auferlegt werden. Ob diese Verträge mit den aktiven Anbietern schon unterzeichnet sind, wird derzeit geprüft.
Löschung und Rückgabe
Nach Vertragsende soll der Betreiber die Daten aus dem Datenfluss der Bilder und Logos nach Wahl des Hotels als Dateien herausgeben oder löschen, binnen 30 Tagen, und das in Textform bestätigen. Verbliebene Kopien werden danach gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht.
Für Creator-Konten gilt ein eigener Löschablauf der Plattform. Er ist im Code vorhanden und noch nicht im Betrieb erprobt. Die Aufbewahrungsfristen für Vereinbarungen und Protokolle sind noch nicht festgelegt.
Überblick über die Sicherheitsmaßnahmen
Der Vertrag soll die Maßnahmen mit ihrem Stand auflisten. „Im Code vorhanden“ heißt: die Maßnahme ist im Programmcode oder in der Datenbank angelegt, im Betrieb aber nicht geprüft, weil es noch kein Produktivsystem gibt.
| Bereich | Stand |
|---|---|
| Zugriffsschutz in der Datenbank, Standard verweigern | im Code vorhanden, teilweise |
| Anmeldung per E-Mail-Link, Sitzungs-Cookie nicht per Skript lesbar | im Code vorhanden |
| Sicherheits-Header und verschlüsselte Übertragung in Produktion | im Code vorhanden, teilweise |
| Löschablauf für Betroffenenanfragen | im Code vorhanden, teilweise |
| Verschlüsselung ruhender Daten, Sicherung und Wiederherstellung, Alarmierung | offen |
Fragen
Fragen zu diesem Text beantwortet support@freestays.app. Die Angabe der Ansprechstelle für Datenschutz wird vor dem Start ergänzt.