VEREINBARUNG ZUR AUFTRAGSVERARBEITUNG · GRUNDLAGE ZUR GESONDERTEN EINBEZIEHUNG
Diese Bedingungen werden nicht allein durch einen Websitebesuch oder ein Kundenkonto vereinbart. Sie gelten erst, wenn das persönliche Angebot die Auftragsverarbeitung ausdrücklich einbezieht und der Auftraggeber diese Anlage mitbeauftragt. Auftragnehmer ist David Olms · Cleververmieten, Plauenstraße 22, 26388 Wilhelmshaven, Deutschland; Auftraggeber ist der im persönlichen Angebot bezeichnete Kunde als Verantwortlicher.
1. GEGENSTAND, ZWECK UND DAUER
Gegenstand ist ausschließlich die im persönlichen Angebot beschriebene technische Einrichtung beziehungsweise Unterstützung unter Verwendung personenbezogener Daten des Auftraggebers. Mögliche Verarbeitungsvorgänge sind Erfassen, Ordnen, Speichern, Bereitstellen, Aktualisieren, Übermitteln im angewiesenen Umfang, Rückgeben und Löschen. Zweck ist die beauftragte digitale Organisation der bezeichneten Unterkunft. Dauer: die beauftragte Leistung bis zu Rückgabe/Löschung nach Vertragsende. Eine eigenständige Nutzung zu Werbung, Profilbildung oder anderen eigenen Zwecken ist nicht gestattet.
2. DATEN UND BETROFFENE
Betroffene können Gäste/Interessenten des Auftraggebers und dessen betriebliche Ansprechpartner sein. Erforderliche Datenkategorien sind Name, geschäftlich erforderliche Kontaktdaten, Unterkunfts-/Buchungsbezug und vereinbarte Nachrichten-/Aufgabeninformationen. Besondere Kategorien nach Art. 9 DSGVO, Ausweiskopien und Zahlungsgeheimnisse sind nicht Gegenstand dieses Standards. Der konkrete Umfang muss zum beauftragten Vorgang passen und vor einer abweichenden Verarbeitung ergänzt werden.
3. RECHTE UND PFLICHTEN DES AUFTRAGGEBERS
Der Auftraggeber entscheidet über Zwecke und Rechtsgrundlagen, informiert Betroffene und ist für die Rechtmäßigkeit seiner Weisungen verantwortlich. Weisungen werden in Textform dokumentiert. Er kann sie während des Auftrags im vereinbarten Umfang ergänzen; notwendige Änderungen von Umfang oder Vergütung werden vorher abgestimmt. Eine unzulässige Weisung darf nicht ausgeführt werden.
4. WEISUNGEN, VERTRAULICHKEIT UND SICHERHEIT
Der Auftragnehmer verarbeitet nur auf dokumentierte Weisung, soweit keine gesetzliche Pflicht zur abweichenden Verarbeitung besteht; über eine solche Pflicht wird vorab informiert, soweit zulässig. Zum Zugriff befugte Personen werden zur Vertraulichkeit verpflichtet. Berechtigungen werden auf erforderliche Aufgaben beschränkt. Angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO sind aufrechtzuerhalten; ein bestehendes Schutzniveau darf nicht unterschritten werden.
5. UNTERAUFTRAGNEHMER UND STANDORTE
Die technische Bereitstellung erfolgt unter Einbeziehung der in der beigefügten Leistungs-/Dienstleisterliste genannten Stellen: Hosting-/Rechenzentrumsdienstleister: Zap Hosting; angegebener Verarbeitungsstandort: Deutschland. E-Mail-/SMTP-Dienstleister: ALL-INKL.COM - Neue Medien Münnich; angegebener Verarbeitungsstandort: Deutschland. Standort-/Transferangaben: Nein
Eine allgemeine Genehmigung beschränkt sich auf die transparent benannten Stellen und Zwecke. Vor Hinzuziehung oder Ersatz wird der Auftraggeber grundsätzlich mindestens 30 Tage vorher in Textform informiert und erhält Gelegenheit zum begründeten datenschutzbezogenen Widerspruch. Ohne rechtmäßige Einbindung wird keine neue Stelle mit personenbezogenen Daten beauftragt. Unterauftragnehmern werden gleichwertige Datenschutzpflichten vertraglich auferlegt. Die Verantwortlichkeit des Auftragnehmers gegenüber dem Auftraggeber bleibt bestehen. Drittlandübermittlungen erfolgen nur auf dokumentierter Grundlage und unter Einhaltung von Kapitel V DSGVO.
6. UNTERSTÜTZUNG, VORFÄLLE UND KONTROLLEN
Der Auftragnehmer unterstützt im erforderlichen und angemessenen Umfang bei Betroffenenrechten, Sicherheit, Meldungen nach Art. 33/34, Datenschutz-Folgenabschätzung und vorheriger Konsultation. Datenschutzverletzungen im Auftragsbereich werden dem Auftraggeber ohne unangemessene Verzögerung mit den verfügbaren Angaben gemeldet; fehlende Informationen werden nachgereicht. Anfragen Betroffener werden weitergeleitet, nicht entgegen Weisungen eigenständig beschieden. Der Auftragnehmer stellt erforderliche Nachweise zur Einhaltung von Art. 28 bereit und ermöglicht angemessene, verhältnismäßige Überprüfungen einschließlich vereinbarter Inspektionen. Eine erforderliche Kontrolle wird nicht durch pauschale Kosten- oder Terminregelungen verhindert.
7. ENDE DER VERARBEITUNG
Nach Abschluss werden Auftragsdaten nach Wahl des Auftraggebers zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Verbliebene gesetzlich aufzubewahrende Daten werden für andere Zwecke gesperrt. Zugänge werden entzogen und Unterauftragnehmer entsprechend angewiesen. Sicherungskopien sind vor gewöhnlicher Nutzung geschützt und nach dem dokumentierten Sicherungszyklus zu ersetzen; eine konkrete Frist ist in der projektspezifischen Anlage festzuhalten. Nachweise und Vertraulichkeitspflichten gelten im erforderlichen Umfang fort.
ANLAGE: TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN DES PORTALKERNS
HTTPS über bestehende TLS-Konfiguration; serverseitige Rollen-/Kontozuordnung; gesalzene scrypt-Passwortableitungen; zeitlich begrenzte Sitzungen und einmalige Bestätigungs-/Resetlinks; Origin-/CSRF-Prüfung bei Veränderungen; befristete Missbrauchszähler; private Dateiablage außerhalb des Webroots; Größen-/Dateitypprüfung; Dienstbenutzer mit eingeschränkten Dateirechten; getrennte Releases und persistente Daten; manuell auslösbare konsistente Datenbanksicherung. Eine automatische tägliche Sicherung, Verschlüsselung aller gespeicherten Dateien oder externe Sicherheitszertifizierung wird damit nicht behauptet. Hosting-Zutrittskontrollen, Sicherungsfristen, Wiederherstellungsziele und tatsächlich eingesetzte Fremddienste sind vor erster Auftragsverarbeitung projektspezifisch zu dokumentieren.
Stand: 2026-11-02