Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO · Stand: 12. Juli 2026

zwischen dem Kunden von SmooBoost als Verantwortlichem (nachfolgend „Verantwortlicher") und Christian Strigl, Brunnfeldweg 26, 6433 Oetz, Österreich, als Auftragsverarbeiter (nachfolgend „Auftragsverarbeiter"). Dieser Vertrag wird mit der Registrierung für SmooBoost Bestandteil des Nutzungsvertrags gemäß den AGB.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen die Buchungsmaschine „SmooBoost" und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Entgegennahme und Weiterleitung von Buchungen und Buchungsanfragen der Gäste des Verantwortlichen an dessen Smoobu-Konto, Anzeige von Verfügbarkeiten und Preisen, Betrieb und Absicherung des Dienstes.

(2) Kategorien betroffener Personen: Gäste und Buchungsinteressenten des Verantwortlichen sowie Besucher der eingebundenen Buchungsmaschine.

(3) Datenarten: Stammdaten (Name, Anschrift), Kontaktdaten (E-Mail, Telefon), Buchungsdaten (Reisezeitraum, Unterkunft, Personenzahl, Preisaufstellung, Nachrichten des Gastes), technische Daten (IP-Adresse, Zeitpunkte) im für den Betrieb erforderlichen Umfang.

(4) Die Verarbeitung findet in der Europäischen Union statt (Serverstandort: Amsterdam, Niederlande). Zu Übermittlungen an Subauftragsverarbeiter mit Drittlandsbezug siehe § 6.

§ 3 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen. Die Nutzung des Dienstes und seiner Einstellmöglichkeiten gilt als Weisung; ergänzende Weisungen erfolgen in Textform an [email protected].

(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und ist berechtigt, die Ausführung bis zur Bestätigung auszusetzen.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b DSGVO.

§ 5 Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik fortlaufend an, ohne das Schutzniveau zu unterschreiten.

§ 6 Subauftragsverarbeiter

(1) Der Verantwortliche genehmigt den Einsatz der in Anlage 2 genannten Subauftragsverarbeiter.

(2) Über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) informiert der Auftragsverarbeiter per E-Mail mindestens 14 Tage im Voraus. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; führt der Widerspruch zu keiner einvernehmlichen Lösung, kann jede Partei den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.

(3) Soweit Subauftragsverarbeiter Daten außerhalb der EU/des EWR verarbeiten, erfolgt dies auf Grundlage geeigneter Garantien gemäß Kapitel V DSGVO (insbesondere EU-Standardvertragsklauseln bzw. Angemessenheitsbeschlüsse wie das EU-US Data Privacy Framework).

§ 7 Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im zumutbaren Umfang bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO. Anfragen betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.

§ 8 Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die dessen Daten betreffen, unverzüglich nach Bekanntwerden und unterstützt ihn bei seinen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

§ 9 Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten binnen 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Auf Wunsch stellt er dem Verantwortlichen die Daten zuvor in einem gängigen Format zur Verfügung (Export-Funktion bzw. auf Anfrage).

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Kontrollen vor Ort sind nach angemessener Vorankündigung während üblicher Geschäftszeiten möglich; vorrangig werden Nachweise durch geeignete Dokumentation, Testate oder Zertifikate der eingesetzten Rechenzentrumsbetreiber erbracht.

Anlage 1: Technische und organisatorische Maßnahmen

• Verschlüsselung: Übertragung ausschließlich über TLS (HTTPS); Smoobu-API-Zugangsdaten werden mit AES-256-GCM verschlüsselt gespeichert; Passwörter werden ausschließlich als salted Hash abgelegt.
• Zugriffskontrolle: Zugriff auf Produktionssysteme nur durch den Auftragsverarbeiter mit Zwei-Faktor-gesicherten Konten der Infrastrukturanbieter; mandantengetrennte Datenhaltung pro Kunde.
• Integrität: Preisberechnung erfolgt serverseitig; Eingaben werden validiert; Buchungsvorgänge werden protokolliert.
• Verfügbarkeit: Tägliche automatisierte Datenbank-Backups mit Aufbewahrung der letzten Sicherungen; Infrastruktur mit automatischem Neustart bei Ausfällen; Serverstandort in der EU (Amsterdam).
• Organisation: Aktuelle Softwarestände, Trennung von Entwicklungs- und Produktionsumgebung, Prinzip der Datenminimierung (es werden nur für die Buchung erforderliche Gästedaten verarbeitet).

Anlage 2: Subauftragsverarbeiter

Hinweis: Die Smoobu GmbH ist kein Subauftragsverarbeiter von SmooBoost, sondern wird vom Verantwortlichen direkt beauftragt. Die Zahlungsabwicklung der SmooBoost-Abonnements über Stripe betrifft Daten des Verantwortlichen selbst und ist in der Datenschutzerklärung beschrieben.