Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag („AVV“) ergänzt den zwischen dem Kunden (im Folgenden „Verantwortlicher“) und der RDGY Software GmbH(im Folgenden „Auftragsverarbeiterin“) geschlossenen Nutzungsvertrag über die SaaS-Lösung „Portier“ (im Folgenden „Hauptvertrag“). Er gilt für alle Verarbeitungen personenbezogener Daten, die die Auftragsverarbeiterin im Auftrag des Verantwortlichen durchführt. Sofern keine gesonderte Unterzeichnung erfolgt, gilt dieser AVV mit Abschluss des Hauptvertrags als vereinbart.

1. Parteien

Auftragsverarbeiterin:
RDGY Software GmbH
Tiergartenstraße 132/F19, 6020 Innsbruck
UID/Steuernummer: ATU82660639 | Registernummer: FN 665064k
E-Mail: office@rdgy.at

Verantwortlicher:
Der Kunde gemäß den Angaben im Benutzer-Account sowie dem Hauptvertrag.

2. Gegenstand, Dauer und Art der Verarbeitung

2.1 Die Auftragsverarbeiterin erbringt für den Verantwortlichen die im Hauptvertrag beschriebenen Leistungen der SaaS-Lösung „Portier“ (KI-gestützter Gäste-Chat, Verwaltung der Hotel-Wissensbasis, Weiterleitung von Gästeanfragen, Gesprächsprotokolle, optionale Hotel-Website).
2.2 Die Verarbeitung personenbezogener Daten durch die Auftragsverarbeiterin erfolgt ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen und nach dokumentierter Weisung des Verantwortlichen.
2.3 Dieser AVV gilt für die Dauer des Hauptvertrags. Löschung und Rückgabe personenbezogener Daten nach Beendigung des Hauptvertrags richten sich nach Ziffer 11.

3. Art der personenbezogenen Daten und Kategorien betroffener Personen

3.1 Der Verantwortliche bestimmt Art und Umfang der verarbeiteten Daten. Typischerweise verarbeitet die Auftragsverarbeiterin im Auftrag folgende Datenkategorien:

• Inhaltsdaten: die vom Verantwortlichen gepflegte Wissensbasis (Fakten, Fragen und Antworten, Kontaktwege), Inhalte und Bilder der optionalen Hotel-Website sowie die Chat-Gespräche zwischen Gästen und dem KI-Concierge, die personenbezogene Daten enthalten können, soweit Gäste diese freiwillig eingeben,
• Metadaten: Zeitstempel, Gesprächs- und Eskalationsstatus, verwendete Wissensbasis-Einträge je Antwort, Nutzungszähler für die Abrechnung,

3.2 Betroffene Personen sind typischerweise Gäste und Interessenten des Verantwortlichen, die den Chat nutzen, sowie dessen Mitarbeiter, deren Kontaktdaten in der Wissensbasis oder als Eskalationskontakt hinterlegt sind.

4. Zweck der Verarbeitung

Die Verarbeitung dient ausschließlich der Bereitstellung der SaaS-Leistungen gemäß Hauptvertrag: automatisierte Beantwortung von Gästeanfragen auf Basis der Wissensbasis des Verantwortlichen, Weiterleitung nicht beantwortbarer Anfragen an den Verantwortlichen, Speicherung der Gesprächsprotokolle sowie Betrieb der optionalen Hotel-Website.

5. Pflichten der Auftragsverarbeiterin

5.1 Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen - auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation -, es sei denn, sie ist gesetzlich zur Verarbeitung verpflichtet. In letzterem Fall teilt sie dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern rechtlich zulässig.
5.2 Die Auftragsverarbeiterin stellt sicher, dass alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind.
5.3 Die Auftragsverarbeiterin trifft alle gemäß DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOMs) - siehe Anlage 1 dieses AVV.
5.4 Die Auftragsverarbeiterin unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten zur Beantwortung von Anträgen betroffener Personen nach Kapitel III der DSGVO (Art. 12-23, insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Direkt bei der Auftragsverarbeiterin eingehende Anfragen betroffener Personen werden unverzüglich an den Verantwortlichen weitergeleitet.
5.4a Die Auftragsverarbeiterin unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und vorherigen Konsultationen der Aufsichtsbehörde (Art. 36 DSGVO).
5.5 Die Auftragsverarbeiterin stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, durch den Verantwortlichen oder einen von ihm beauftragten Prüfer (mit angemessener Vorankündigung und unter Wahrung berechtigter Vertraulichkeitsinteressen).
5.6 Die Auftragsverarbeiterin unterrichtet den Verantwortlichen unverzüglich, wenn eine Weisung nach ihrer Auffassung gegen DSGVO oder sonstiges anwendbares Datenschutzrecht verstößt.

6. Pflichten des Verantwortlichen

6.1 Der Verantwortliche ist allein verantwortlich für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten in „Portier“, insbesondere für das Vorliegen einer Rechtsgrundlage nach DSGVO für die von ihm veranlasste Verarbeitung.
6.2 Der Verantwortliche stellt sicher, dass er über die erforderlichen Rechtsgrundlagen verfügt, um personenbezogene Daten Dritter in die Anwendung hochzuladen und zu verarbeiten.
6.3 Weisungen des Verantwortlichen an die Auftragsverarbeiterin erfolgen in Textform (z. B. per E-Mail).

7. Unterauftragsverarbeiter

7.1 Der Verantwortliche erteilt der Auftragsverarbeiterin eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die aktuell eingesetzten Unterauftragsverarbeiter sind in der Unterauftragsverarbeiterliste aufgeführt.
7.2 Die Auftragsverarbeiterin informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder den Austausch von Unterauftragsverarbeitern mit einer Vorankündigungsfrist von mindestens 14 Tagen (z. B. per E-Mail oder durch Aktualisierung der Unterauftragsverarbeiterliste). Der Verantwortliche kann gegen solche Änderungen innerhalb von 14 Tagen ab Mitteilung Widerspruch einlegen. Im Widerspruchsfall ist die Auftragsverarbeiterin berechtigt, den Hauptvertrag zum nächstmöglichen Termin zu kündigen.
7.3 Die Auftragsverarbeiterin erlegt Unterauftragsverarbeitern im Wege eines Vertrags oder eines anderen Rechtsinstruments nach Unionsrecht dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet die Auftragsverarbeiterin gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters (Art. 28 Abs. 4 DSGVO).

8. Übermittlung in Drittländer

Anwendungsdaten werden auf Servern in der EU verarbeitet und gespeichert. Soweit eingesetzte Unterauftragsverarbeiter ihren Sitz außerhalb der EU/des EWR haben (insbesondere USA: Clerk, Wasabi, Fly.io), erfolgt die Übermittlung auf Basis von Standardvertragsklauseln (SCC) und/oder dem EU-US Data Privacy Framework (DPF), soweit der jeweilige Anbieter zertifiziert ist. Details finden sich in der Unterauftragsverarbeiterliste. Die in diesem Abschnitt und in der Unterauftragsverarbeiterliste beschriebenen Übermittlungen gelten als dokumentierte Weisung des Verantwortlichen im Sinne von Ziffer 5.1.

9. Datensicherheit - Technische und organisatorische Maßnahmen

Die Auftragsverarbeiterin setzt angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten ein. Die wesentlichen Maßnahmen sind in Anlage 1 dieses AVV beschrieben.

10. Meldung von Datenschutzverletzungen

Die Auftragsverarbeiterin meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten gemäß Art. 33 Abs. 2 DSGVO unverzüglich nach Bekanntwerden an die im Account hinterlegte E-Mail-Adresse des Verantwortlichen - in jedem Fall so rechtzeitig, dass der Verantwortliche seine eigene gesetzliche Meldefrist von 72 Stunden gegenüber der zuständigen Datenschutzbehörde (Art. 33 Abs. 1 DSGVO) einhalten kann. Die Meldung enthält mindestens die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit zum Zeitpunkt der Meldung verfügbar; fehlende Informationen werden unverzüglich nachgereicht.

11. Löschung und Rückgabe

11.1 Dem Verantwortlichen steht jederzeit ein Self-Service-Datenexport in der Anwendung zur Verfügung (ZIP mit Kontodaten, Wissensbasis, Gesprächsprotokollen, Website-Inhalten und hochgeladenen Bildern).
11.2 Nach Beendigung des Hauptvertrags kann der Verantwortliche nach seiner Wahl innerhalb von 30 Tagen die Rückgabe der Daten (per Datenexport gemäß Ziffer 11.1 oder auf Anfrage) verlangen. Nach Ablauf dieser Frist - oder auf ausdrücklichen Wunsch des Verantwortlichen früher (Bestätigung im Konto-Lösch-Dialog) - werden die personenbezogenen Daten gelöscht: Konto- und Authentifizierungsdaten unverzüglich, die Inhaltsdaten der Unterkünfte (Wissensbasis, Gesprächsprotokolle, Website-Inhalte einschließlich der Bilder im Objektspeicher) spätestens innerhalb von 30 Tagen.
11.3 Gesetzliche Aufbewahrungspflichten bleiben unberührt; entsprechende Daten werden pseudonymisiert und nach Ablauf der Aufbewahrungsfrist gelöscht.

12. Sonstige Bestimmungen

12.1 Dieser AVV ist Bestandteil des Hauptvertrags und unterliegt österreichischem Recht.
12.2 Im Widerspruchsfall zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV vor, soweit sie die Auftragsverarbeitung betreffen.
12.3 Änderungen dieses AVV bedürfen der Textform und werden mit einer Ankündigungsfrist von mindestens 30 Tagen mitgeteilt. Sie gelten als angenommen, wenn der Verantwortliche nicht innerhalb von 30 Tagen ab Zugang der Mitteilung in Textform widerspricht; auf diese Rechtsfolge wird in der Mitteilung gesondert hingewiesen. Im Widerspruchsfall gilt Ziffer 7.2 Satz 3 entsprechend.

Anlage 1: Technische und organisatorische Maßnahmen (TOMs)

Vertraulichkeit

• Zugriffskontrolle: rollenbasierte Berechtigungen (Least Privilege), Authentifizierung über Clerk (Google-SSO bzw. E-Mail/Passwort mit Passwort-Richtlinien),
• Weitergabekontrolle: verschlüsselte Übertragung aller Daten via TLS/HTTPS; keine unverschlüsselte Übertragung,
• Trennungskontrolle: logische Trennung der Kundendaten; Daten verschiedener Verantwortlicher werden getrennt gespeichert,
• Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Mitarbeiter.

Integrität

• Eingabekontrolle: Protokollierung sicherheitsrelevanter Ereignisse und Zugriffe,
• Übertragungsintegrität: TLS mit aktuellen Cipher-Suites.

Verfügbarkeit und Belastbarkeit

• Speicherung auf redundanter S3-Infrastruktur (Wasabi, Frankfurt/EU) mit serverseitiger AES-256-Verschlüsselung,
• Datenbank-Backups durch Fly.io Managed Postgres (automatische regelmäßige Backups),
• Self-Service-Datenexport jederzeit abrufbar,
• Hosting auf Fly.io mit automatischem Neustart bei Ausfällen (Frankfurt/EU-Region).

Löschkonzept

• Automatische Löschung von Chat-Gesprächsprotokollen nach 365 Tagen,
• Self-Service-Datenexport und Konto-Löschung (Hard-Delete der Kontodaten) direkt in der Anwendung.

Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Überprüfung und Aktualisierung der TOMs,
• Schwachstellenmanagement: zeitnahe Einspielung von Sicherheitsupdates für alle Systemkomponenten,
• Datenschutz durch Technikgestaltung (Privacy by Design) bei der Entwicklung neuer Funktionen.