Auftragsverarbeitungsvertrag (AVV)

Muster-AVV nach Art. 28 DSGVO · Stand: 26. August 2026

Präambel

Zwischen dem Kunden (nachfolgend „Verantwortlicher") und der ApaleoPMS GmbH, Torstraße 178, 10115 Berlin (nachfolgend „Auftragsverarbeiter") wird bei Vertragsschluss über die Bereitstellung von Modulen für Apaleo Cloud PMS folgender Auftragsverarbeitungsvertrag geschlossen. Dieser AVV konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien, die sich aus der zwischen ihnen geschlossenen Hauptvereinbarung (Modulnutzung) ergeben. Er findet Anwendung auf alle Tätigkeiten, die mit der Hauptvereinbarung in Zusammenhang stehen und bei denen Beschäftigte des Auftragsverarbeiters oder durch den Auftragsverarbeiter Beauftragte personenbezogene Daten des Verantwortlichen verarbeiten.

§ 1 Gegenstand und Dauer

Gegenstand der Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten aus dem Apaleo Workspace des Verantwortlichen im Rahmen der vom Verantwortlichen gebuchten Module. Die Dauer der Auftragsverarbeitung entspricht der Laufzeit der Hauptvereinbarung.

§ 2 Art und Zweck der Verarbeitung

Art der Verarbeitung: Erheben, Speichern, Nutzen, Verändern (nur mit expliziter Freigabe des Verantwortlichen), Übermitteln, Löschen.
Zweck: Bereitstellung der beauftragten Module zur Erweiterung und Integration der Apaleo Cloud PMS-Nutzung des Verantwortlichen (OTA-Konnektoren, Housekeeping, Meldescheine, Zahlungsabwicklung, Analytics, API-Erweiterung, Zapier-Automation).

§ 3 Art der personenbezogenen Daten

Reservierungsdaten (Reservierungsnummer, Anreise- und Abreisedatum, Zimmertyp, Preis), Gästestammdaten (Name, Adresse, Kontaktdaten, ggf. Ausweisdaten für Meldescheine), Zahlungsdaten (ausschließlich als Adyen-Token, keine Klarwerte), Bewertungsdaten (soweit vom Verantwortlichen aktiviert), Aufenthaltsdaten (Zeitstempel Check-in / Check-out).

§ 4 Kategorien betroffener Personen

Gäste des Verantwortlichen, Buchende Dritte (z. B. Firmenkunden, Reisebüros, Sekretariate), Mitarbeitende des Verantwortlichen (Nutzer des Apaleo Workspace, Nutzer des ApaleoPMS-Cockpits).

§ 5 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarung und nach dokumentierten Weisungen des Verantwortlichen, insbesondere in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation.

(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen zur Sicherheit der Verarbeitung. Die aktuellen Technischen und Organisatorischen Maßnahmen (TOM) sind Anlage 1 zu diesem AVV und im ApaleoPMS-Cockpit einsehbar.

(4) Der Auftragsverarbeiter beauftragt Unterauftragsverarbeiter nur nach vorheriger Information des Verantwortlichen. Bei Aufnahme oder Ersetzung von Unterauftragsverarbeitern wird der Verantwortliche mindestens 30 Kalendertage vorher informiert; er hat das Recht auf Widerspruch aus wichtigem Grund.

(5) Aktuelle Unterauftragsverarbeiter (Stand August 2026):

• Hetzner Online GmbH, Gunzenhausen, Deutschland — Infrastruktur (Frankfurt, Nürnberg)
• Amsterdam Internet Exchange B.V., Amsterdam, Niederlande — Backup-Standort
• Adyen N.V., Amsterdam, Niederlande — Zahlungsabwicklung (nur bei aktiviertem Adyen-Modul)
• Sendgrid (Twilio Inc.), San Francisco, USA — transaktionale E-Mails (nur Zustellmetadaten, keine Inhalte mit personenbezogenen Daten der Gäste)

Für die Übermittlung an Sendgrid liegen Standardvertragsklauseln der EU-Kommission (Modul 2) sowie ein zusätzliches Transfer Impact Assessment vor.

§ 6 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen, bei der Sicherheit der Verarbeitung, bei Meldung von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei vorheriger Konsultation der Aufsichtsbehörde.

§ 7 Löschung und Rückgabe

Nach Beendigung der Hauptvereinbarung löscht der Auftragsverarbeiter alle beim ihm verbliebenen personenbezogenen Daten des Verantwortlichen innerhalb von 30 Kalendertagen, es sei denn, eine gesetzliche Aufbewahrungspflicht steht dem entgegen. Auf Wunsch stellt der Auftragsverarbeiter die Daten vor der Löschung in einem gängigen Format zur Rückgabe bereit.

§ 8 Kontrollrechte

Der Verantwortliche hat das Recht, die Einhaltung der Verpflichtungen des Auftragsverarbeiters durch geeignete Kontrollen im Sinne des Art. 28 Abs. 3 lit. h DSGVO zu überprüfen. Der Auftragsverarbeiter stellt hierfür ein aktuelles ISO-27001-Zertifikat oder ein gleichwertiges Testat auf Anfrage kostenlos bereit. Vor-Ort-Kontrollen sind nach vorheriger schriftlicher Terminvereinbarung mit einer Vorlaufzeit von mindestens 14 Kalendertagen möglich; die Kosten trägt der Verantwortliche.

§ 9 Datenschutzverletzung

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, über jede Datenschutzverletzung. Die Information enthält alle nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit diese zum Zeitpunkt der Meldung bekannt sind.

§ 10 Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in EU-Rechenzentren statt (Frankfurt, Nürnberg, Amsterdam). Ein Transfer in Drittländer außerhalb der EU/EWR findet nur in dem in § 5 Abs. 5 aufgeführten Umfang (Sendgrid) unter den dort genannten Schutzmaßnahmen statt.

§ 11 Wirksamwerden und Schlussbestimmungen

Dieser AVV wird bei Vertragsschluss über die Modulnutzung digital signiert und ist damit ohne weitere Handlung wirksam. Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht. Für Streitigkeiten aus diesem AVV ist das Gericht Berlin ausschließlich zuständig.

Anlage 1: Technische und Organisatorische Maßnahmen (TOM)

Verschlüsselung: TLS 1.3 in Transit, AES-256 at rest. Zugangskontrolle: rollenbasiert, Multi-Faktor-Pflicht für Administratoren. Zugriffskontrolle: Segmentierung nach Kunde, granular auf Modulebene. Weitergabekontrolle: Protokollierung jeder API-Interaktion. Eingabekontrolle: revisionssichere Änderungshistorie. Auftragskontrolle: dokumentierte Weisungen im Cockpit. Verfügbarkeitskontrolle: Backup alle 4 h, Aufbewahrung 30 Tage. Trennungskontrolle: mandantengetrennte Datenhaltung. Vollständige TOM-Dokumentation auf Anfrage unter dpo@apaleopms.com.