1. Parteien und Gegenstand
Dieser Vertrag wird geschlossen zwischen dem Kunden, der einen Orkalo-Bereich innehat („der Verantwortliche“), und dem Herausgeber von Orkalo, Keddy Girel Andamba Gnegne, Einzelunternehmer, SIREN 923 735 674, 5 Rue Sarret de Coussergues, Résidence Jules Verne, 34300 Agde, France („der Auftragsverarbeiter“). Er legt fest, wie der Auftragsverarbeiter im Auftrag des Verantwortlichen die in Orkalo anvertrauten personenbezogenen Daten verarbeitet. Er ist Bestandteil der Nutzungsbedingungen und gilt, solange der Bereich besteht. Die Annahme der Nutzungsbedingungen gilt als Annahme dieser Vereinbarung; auf Anfrage kann eine gesondert unterzeichnete Fassung bereitgestellt werden.
2. Beschreibung der Verarbeitung
- Art: Hosting, Speicherung, Abruf, Übermittlung an verbundene Plattformen, Versand von Nachrichten, Erstellung von Dokumenten, Löschung.
- Zweck: Verwaltung von Kurzzeitvermietungen (Unterkünfte, Buchungen, Gäste, Einsätze, Eigentümer, Zahlungen).
- Betroffene Personen: Gäste, Dienstleister (mit oder ohne Konto), Eigentümer, Teammitglieder des Verantwortlichen.
- Daten: Identität und Kontaktdaten, Daten und Einzelheiten der Aufenthalte, Beträge, Nachrichten, Fotos, unterzeichnete Dokumente (Name, Datum, IP), Check-ins bei Einsätzen (Position beim Tippen) und, wenn der Verantwortliche sie anfordert, Ausweisdokumente und Gästeformulare.
- Dauer: die des Abonnements, danach Rückgabe und Löschung (Artikel 9).
3. Weisungen des Verantwortlichen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen: Diese Weisungen sind die in Orkalo vorgenommenen Einstellungen und Aktionen sowie dieser Vertrag. Hält er eine Weisung für DSGVO-widrig, informiert er den Verantwortlichen unverzüglich.
4. Vertraulichkeit und Sicherheit
Die beim Auftragsverarbeiter zugriffsberechtigten Personen sind zur Vertraulichkeit verpflichtet und greifen nur bei Bedarf auf die Daten zu (angefragter Support, Vorfall). Die angewandten Sicherheitsmaßnahmen sind im Anhang beschrieben (Artikel 11).
5. Unterauftragsverarbeiter
Der Verantwortliche erlaubt dem Auftragsverarbeiter, die in der Datenschutzerklärung genannten Dienstleister einzusetzen (Hosting, E-Mail, Plattformanbindung, Zahlungen, Adresssuche, Anmeldung mit Apple / Google). Der Auftragsverarbeiter verpflichtet sie zu gleichwertigem Schutz. Er informiert den Verantwortlichen mindestens 30 Tage im Voraus über jede Ergänzung oder Ersetzung; der Verantwortliche kann aus berechtigtem Grund widersprechen und, wenn keine Lösung gefunden wird, kostenfrei kündigen.
6. Rechte der betroffenen Personen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch), insbesondere durch die Export- und Löschfunktionen von Orkalo. Eine direkt beim Auftragsverarbeiter eingehende Anfrage wird unverzüglich an den Verantwortlichen weitergeleitet.
7. Datenschutzverletzung
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten innerhalb von 48 Stunden nach Kenntnisnahme, mit den Informationen, die der Verantwortliche braucht, um gegebenenfalls die Aufsichtsbehörde binnen 72 Stunden und die betroffenen Personen zu benachrichtigen.
8. Unterstützung und Nachweise
Der Auftragsverarbeiter unterstützt den Verantwortlichen in angemessenem Umfang bei Datenschutz-Folgenabschätzungen und der Konsultation der Aufsichtsbehörde. Er stellt die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und lässt Prüfungen zu, mit einer Vorankündigung von 30 Tagen und auf Kosten des Verantwortlichen, ohne Zugriff auf Daten anderer Kunden.
9. Vertragsende
Zum Ende des Abonnements kann der Verantwortliche seine Daten während 30 Tagen exportieren. Danach löscht der Auftragsverarbeiter sie, auch aus den Sicherungen am Ende ihres 30-Tage-Zyklus, sofern keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung ist spätestens 90 Tage nach Ende des Abonnements abgeschlossen.
10. Pflichten des Verantwortlichen
Der Verantwortliche wählt die Rechtsgrundlage jeder Verarbeitung, informiert die betroffenen Personen (Gäste, Dienstleister, Eigentümer), insbesondere über den standortbasierten Check-in und die Erhebung von Ausweisdokumenten, und fordert nur die nötigen Daten an. Er legt die Rechte seines Teams fest und schützt seine eigenen Zugänge.
11. Anhang: Sicherheitsmaßnahmen
- Verschlüsselte Verbindungen (HTTPS) und verschlüsselte Passwörter.
- Widerrufbare Sitzungen; Token im Schlüsselbund der Telefone; Face ID oder Fingerabdruck in den Apps.
- Strikte Trennung der Kundenbereiche und rollenbasierte Rechte.
- Ausweisdokumente getrennt gespeichert, eingeschränkter Zugriff, automatische Löschung.
- Begrenzung der Anmeldeversuche und Protokoll sensibler Aktionen.
- Tägliche verschlüsselte Sicherungen, 30 Tage aufbewahrt.
- Automatische Löschung der Check-ins nach 12 Monaten.
- Server in der Europäischen Union bei UpCloud (Finnland).