Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 DSGVO · Stand: 20. August 2026
zwischen dem Kunden von BineBoost als Verantwortlichem (nachfolgend „Verantwortlicher“) und Christian Strigl, Brunnfeldweg 26, 6433 Oetz, Österreich, als Auftragsverarbeiter (nachfolgend „Auftragsverarbeiter“). Dieser Vertrag wird mit der Registrierung für BineBoost Bestandteil des Nutzungsvertrags gemäß den AGB.
§ 1 Gegenstand und Dauer
(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen die Buchungsmaschine „BineBoost“ und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen.
(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags.
§ 2 Art, Zweck und Umfang der Verarbeitung
(1) Zweck: Entgegennahme und Weiterleitung von Buchungen und Buchungsanfragen der Gäste des Verantwortlichen an dessen Smoobu-Konto, Anzeige von Verfügbarkeiten und Preisen, Betrieb und Absicherung des Dienstes. Hat der Verantwortliche die Kartenzahlung aktiviert, kommt die technische Auslösung der Zahlung über dessen eigenes Stripe-Konto hinzu (siehe § 6 Abs. 4).
(1a) Nutzungsstatistik der Buchungsmaschine: Zum Leistungsumfang gehört eine Auswertung der Buchungsstrecke, die der Auftragsverarbeiter dem Verantwortlichen im Dashboard bereitstellt, ausschließlich zu dessen Zwecken. Erfasst werden: Aufrufe der Buchungsmaschine, Suchanfragen mit Reisezeitraum, Personenzahl und Haustieren, das Ergebnis der Suche einschließlich der Gründe, aus denen kein Angebot zustande kam, der im Buchungsablauf erreichte Schritt, eingegebene Rabattcodes sowie Buchungen mit Umsatz. Grundlage ist eine Sitzungskennung, die der Server vergibt; sie wird nicht im Endgerät des Gastes gespeichert und endet mit dem Besuch. Namen, E-Mail-Adressen, Telefonnummern und IP-Adressen gehen in diese Auswertung nicht ein.
Die Bereitstellung ist Teil des vom Verantwortlichen beauftragten Dienstes; seine Nutzung gilt nach § 3 Abs. 1 als Weisung. Der Verantwortliche kann der Auswertung jederzeit in Textform widersprechen; der Auftragsverarbeiter stellt sie dann für sein Konto ab. Die Auswertung erfolgt getrennt je Verantwortlichem. Eine Zusammenführung über mehrere Verantwortliche hinweg sowie jede Nutzung für eigene Zwecke des Auftragsverarbeiters finden nicht statt. Einzeldaten werden spätestens nach 90 Tagen gelöscht; danach verbleiben nur Summen ohne Sitzungsbezug. Gäste, deren Browser „Do Not Track“ oder Global Privacy Control sendet, werden nicht erfasst.
(2) Kategorien betroffener Personen: Gäste und Buchungsinteressenten des Verantwortlichen sowie Besucher der eingebundenen Buchungsmaschine.
(3) Datenarten: Stammdaten (Name, Anschrift), Kontaktdaten (E-Mail, Telefon), Buchungsdaten (Reisezeitraum, Unterkunft, Personenzahl, Preisaufstellung, Nachrichten des Gastes), technische Daten (IP-Adresse, Zeitpunkte) im für den Betrieb erforderlichen Umfang. Bei aktivierter Kartenzahlung zusätzlich Zahlungs-Statusdaten (Kennungen des Zahlungsvorgangs bei Stripe, Betrag, Währung, Status). Zahlungsmittel- und Kartendaten werden nicht verarbeitet; sie werden ausschließlich auf der Zahlungsseite von Stripe eingegeben und berühren die Systeme des Auftragsverarbeiters nicht.
(4) Die Verarbeitung findet in der Europäischen Union statt (Serverstandort: Amsterdam, Niederlande). Zu Übermittlungen an Subauftragsverarbeiter mit Drittlandsbezug siehe § 6.
§ 3 Weisungsrecht
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen. Die Nutzung des Dienstes und seiner Einstellmöglichkeiten gilt als Weisung; ergänzende Weisungen erfolgen in Textform an [email protected].
(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und ist berechtigt, die Ausführung bis zur Bestätigung auszusetzen.
§ 4 Vertraulichkeit
Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b DSGVO.
§ 5 Technische und organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik fortlaufend an, ohne das Schutzniveau zu unterschreiten.
§ 6 Subauftragsverarbeiter
(1) Der Verantwortliche genehmigt den Einsatz der in Anlage 2 genannten Subauftragsverarbeiter.
(2) Über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) informiert der Auftragsverarbeiter per E-Mail mindestens 14 Tage im Voraus. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; führt der Widerspruch zu keiner einvernehmlichen Lösung, kann jede Partei den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.
(3) Soweit Subauftragsverarbeiter Daten außerhalb der EU/des EWR verarbeiten, erfolgt dies auf Grundlage geeigneter Garantien gemäß Kapitel V DSGVO (insbesondere EU-Standardvertragsklauseln bzw. Angemessenheitsbeschlüsse wie das EU-US Data Privacy Framework).
(4) Kein Subauftragsverarbeiter ist die Stripe Payments Europe, Ltd. für die Kartenzahlung der Gäste. Hat der Verantwortliche diese Funktion aktiviert, unterhält er hierfür ein eigenes Konto bei Stripe auf Grundlage eines unmittelbar zwischen ihm und Stripe geschlossenen Vertrags. Er ist Zahlungsempfänger; die Zahlung wird auf seinem Konto ausgeführt. Stripe verarbeitet die dabei anfallenden Daten als eigener Verantwortlicher zur Erbringung der Zahlungsdienstleistung und zur Erfüllung eigener gesetzlicher Pflichten (insbesondere Geldwäsche- und Aufsichtsrecht). Der Auftragsverarbeiter übermittelt an Stripe im Auftrag des Verantwortlichen nur, was für den Zahlungsvorgang nötig ist: E-Mail-Adresse des Gastes, Betrag, Währung sowie eine Bezeichnung des Vorgangs (Unterkunft und Reisezeitraum). Die Verhältnisse entsprechen damit denen der Smoobu GmbH (siehe Hinweis zu Anlage 2).
§ 7 Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen im zumutbaren Umfang bei der Erfüllung von Betroffenenrechten (Art. 12 bis 23 DSGVO) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Anfragen betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.
§ 8 Meldung von Verletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die dessen Daten betreffen, unverzüglich nach Bekanntwerden und unterstützt ihn bei seinen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).
§ 9 Löschung und Rückgabe
(1) Bereits während der Vertragslaufzeit löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Gästedaten automatisch nach folgenden Fristen: Buchungen 24 Monate nach der Abreise, Angebote 90 Tage nach ihrem Ablaufdatum (gebuchte Angebote bleiben, solange die zugehörige Buchung besteht), erledigte Anfragen 12 Monate nach Eingang. Offene Anfragen werden nicht automatisch gelöscht. Steuerliche und sonstige gesetzliche Aufbewahrungspflichten des Verantwortlichen bleiben unberührt; ihnen genügt der Verantwortliche über sein Smoobu-Konto und seine eigene Buchhaltung.
(2) Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten binnen 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Auf Wunsch stellt er dem Verantwortlichen die Daten zuvor in einem gängigen Format zur Verfügung (Export-Funktion bzw. auf Anfrage).
§ 10 Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Kontrollen vor Ort sind nach angemessener Vorankündigung während üblicher Geschäftszeiten möglich; vorrangig werden Nachweise durch geeignete Dokumentation, Testate oder Zertifikate der eingesetzten Rechenzentrumsbetreiber erbracht.
Anlage 1: Technische und organisatorische Maßnahmen
- Verschlüsselung: Übertragung ausschließlich über TLS (HTTPS); Smoobu-API-Zugangsdaten werden mit AES-256-GCM verschlüsselt gespeichert; Passwörter werden ausschließlich als salted Hash abgelegt.
- Zugriffskontrolle: Zugriff auf Produktionssysteme nur durch den Auftragsverarbeiter mit Zwei-Faktor-gesicherten Konten der Infrastrukturanbieter; mandantengetrennte Datenhaltung pro Kunde.
- Integrität: Preisberechnung erfolgt serverseitig; Eingaben werden validiert; Buchungsvorgänge werden protokolliert.
- Verfügbarkeit: Tägliche automatisierte Datenbank-Backups mit Aufbewahrung der letzten Sicherungen; Infrastruktur mit automatischem Neustart bei Ausfällen; Serverstandort in der EU (Amsterdam).
- Organisation: Aktuelle Softwarestände, Trennung von Entwicklungs- und Produktionsumgebung, Prinzip der Datenminimierung (es werden nur für die Buchung erforderliche Gästedaten verarbeitet).
Anlage 2: Subauftragsverarbeiter
| Unternehmen | Zweck | Ort der Verarbeitung |
|---|---|---|
| Railway Corporation, USA | Hosting der Anwendung und Datenbank | Rechenzentrum EU (Amsterdam, Niederlande); Vertragspartner mit Sitz in den USA: EU-Standardvertragsklauseln |
| Resend (Plus Five Five, Inc.), USA | Versand von Transaktions-E-Mails an den Verantwortlichen (nicht an Gäste) | E-Mail-Infrastruktur Region EU; Vertragspartner mit Sitz in den USA: EU-Standardvertragsklauseln |
| Cloudflare, Inc., USA | DNS und Auslieferungsnetzwerk (Proxy) der Domain; Objektspeicher (R2) für die tägliche Sicherung, Bucket in der EU-Jurisdiktion | Weltweites Netzwerk: EU-Standardvertragsklauseln / Data Privacy Framework |
Hinweis: Die Smoobu GmbH ist kein Subauftragsverarbeiter von BineBoost, sondern wird vom Verantwortlichen direkt beauftragt. Dasselbe gilt für die Stripe Payments Europe, Ltd., soweit der Verantwortliche die Kartenzahlung seiner Gäste aktiviert hat (§ 6 Abs. 4). Auch die Abrechnung der BineBoost-Abonnements läuft über Stripe; sie betrifft Daten des Verantwortlichen selbst und ist in der Datenschutzerklärung beschrieben.