Vertrag zur Auftragsverarbeitung (DPA)

zwischen dem Kunden (nachfolgend „Verantwortlicher") und der StraivPMS GmbH, Rosenthaler Straße 40, 10178 Berlin (nachfolgend „Auftragsverarbeiter"). Stand: 15. Juli 2026.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der vom Verantwortlichen bestellten StraivPMS-Module. Die Dauer der Auftragsverarbeitung entspricht der Vertragslaufzeit gemäß Ziffer 6 der Allgemeinen Geschäftsbedingungen.

2. Art, Zweck, Umfang der Verarbeitung

Gegenstand der Verarbeitung sind Erhebung, Erfassung, Organisation, Ordnung, Speicherung, Anpassung, Veränderung, Auslesen, Abfragen, Verwendung, Offenlegung durch Übermittlung, Verbreitung, Bereitstellung, Abgleich, Verknüpfung, Einschränkung, Löschung und Vernichtung personenbezogener Daten. Zweck der Verarbeitung ist die Erfüllung der vertraglichen Pflichten des Auftragsverarbeiters aus den bestellten Modulen (u. a. mobiler Check-in, digitale Meldescheine nach BMG, Upsell-Widget, Housekeeping-Kalender, digitale Bluetooth-Zimmerkarten, Multi-Sprache, WhatsApp-Automation, Feedback-Ablauf, Adyen-Payment-Konnektor, Guest-Journey-Analytics).

3. Datenarten und Kategorien betroffener Personen

Die Verarbeitung umfasst die folgenden Datenarten: (i) Stammdaten der Hotelgäste des Verantwortlichen (Vor- und Nachname, Anrede, Geburtsdatum, Staatsangehörigkeit, Anschrift), (ii) Ausweisdaten (Ausweistyp, Ausweisnummer, ausstellende Behörde) — nur im Rahmen des Meldeschein-Moduls, (iii) Kontaktdaten (E-Mail, Telefonnummer), (iv) Aufenthaltsdaten (Ankunft, Abreise, Zimmer, Anzahl Personen, Rate-Plan), (v) Kommunikationsdaten (WhatsApp-Nachrichten, Feedback-Antworten), (vi) Zahlungsdaten (Betrag, Zahlungsart, Zahlungsstatus) — nur im Rahmen des Payment-Moduls, keine unverschlüsselten Kartendaten. Kategorien betroffener Personen: Hotelgäste des Verantwortlichen sowie Beschäftigte des Verantwortlichen, die den StraivPMS-Workspace bedienen.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich im Rahmen des Auftrags und nach den dokumentierten Weisungen des Verantwortlichen. Er trifft geeignete technische und organisatorische Maßnahmen im Sinne des Art. 32 DSGVO. Er verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit oder überprüft eine bestehende gesetzliche Verschwiegenheitspflicht. Er unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenanfragen sowie bei der Meldung von Datenschutzverletzungen.

5. Pflichten des Verantwortlichen

Der Verantwortliche ist datenschutzrechtlich allein Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Rechtmäßigkeit der Verarbeitung. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten hinsichtlich datenschutzrechtlicher Vorschriften bei der Prüfung der Verarbeitungsergebnisse feststellt.

6. Weisungsrecht

Weisungen des Verantwortlichen an den Auftragsverarbeiter werden in Textform (E-Mail an dpo@straivpms.com mit Betreff „DPA-Weisung") erteilt und vom Auftragsverarbeiter protokolliert. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Er ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen bestätigt oder geändert wird.

7. Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter hält die folgenden TOMs vor: Vertraulichkeit (Zutrittskontrolle zum Rechenzentrum, Zugangs­kontrolle durch Zwei-Faktor-Anmeldung, Zugriffskontrolle durch Rollen- und Rechtekonzept), Integrität (Weitergabekontrolle über TLS 1.2+, Eingabekontrolle über Audit-Log), Verfügbarkeit und Belastbarkeit (Backups täglich, georedundant, Wiederherstellungs-Test halbjährlich, Notfall-Konzept), regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen (jährliches Audit). Eine vollständige TOM-Liste ist im StraivPMS-Workspace unter „Compliance → Sicherheit" jederzeit abrufbar.

8. Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt Unterauftragsverarbeiter für Rechenzentrums-Leistungen (Standort Frankfurt am Main), Zahlungsabwicklung, E-Mail-Zustellung und externen Datenschutz ein. Eine vollständige Liste der aktuellen Unterauftragsverarbeiter (mit Firmierung, Sitz und Verarbeitungszweck) wird dem Verantwortlichen nach Vertragsschluss im StraivPMS-Workspace bereitgestellt und mindestens 30 Tage vor jeder Änderung mit Widerspruchsmöglichkeit angekündigt.

9. Drittlandtransfer

Ein Transfer personenbezogener Daten in Länder außerhalb der Europäischen Union oder des EWR findet nicht statt. Für den unwahrscheinlichen Fall eines künftigen Drittlandtransfers wird sich der Auftragsverarbeiter ausschließlich auf einen Angemessenheitsbeschluss der Europäischen Kommission oder Standardvertragsklauseln nach Art. 46 DSGVO mit ergänzenden Schutzmaßnahmen stützen.

10. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen im Rahmen der Art. 15 bis 22 DSGVO, bei der Durchführung einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO sowie bei der vorherigen Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO. Der Umfang der Unterstützungspflicht ist auf zumutbare Maßnahmen begrenzt; darüber hinausgehende Unterstützung kann gegen angemessene Vergütung vereinbart werden.

11. Meldungen bei Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach ihrer Feststellung. Die Meldung enthält alle nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie zum Zeitpunkt der Meldung verfügbar sind.

12. Kontrollrechte

Der Verantwortliche hat das Recht, sich von der Einhaltung der Vertragspflichten durch den Auftragsverarbeiter zu überzeugen. Dies erfolgt in der Regel durch Vorlage aktueller Prüfberichte, Zertifikate (etwa nach ISO 27001) oder durch die Beantwortung eines Fragebogens zur Auftragskontrolle. Vor-Ort-Prüfungen sind mit einer Vorankündigung von mindestens 30 Kalendertagen möglich, sofern keine besonderen Gründe eine kurzfristige Prüfung erfordern.

13. Löschung und Rückgabe

Nach Beendigung des Auftragsverhältnisses löscht der Auftragsverarbeiter alle verarbeiteten personenbezogenen Daten binnen 30 Kalendertagen, es sei denn, gesetzliche Aufbewahrungspflichten (z. B. § 30 Abs. 4 BMG für Meldescheine, § 257 HGB für Rechnungen) stehen der Löschung entgegen. Auf Wunsch des Verantwortlichen wird ein Export der Daten in maschinenlesbarer Form (CSV oder JSON) vorher bereitgestellt.

14. Haftung, Schlussbestimmungen

Für die Haftung des Auftragsverarbeiters gegenüber dem Verantwortlichen sowie gegenüber betroffenen Personen gelten die Bestimmungen des Art. 82 DSGVO sowie die Regelungen der AGB Ziffer 8. Es gilt deutsches Recht. Gerichtsstand ist Berlin. Änderungen dieses DPA bedürfen der Textform. Sollten einzelne Bestimmungen dieses DPA unwirksam sein, so wird die Wirksamkeit der übrigen Bestimmungen hierdurch nicht berührt.