Fassung 3.0 · Stand: 01. August 2026
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV" oder „Vertrag") wird zwischen dem Kunden (nachfolgend „Verantwortlicher") und der GuestlineHub GmbH, Ballindamm 40, 20095 Hamburg, HRB 156 924 Amtsgericht Hamburg (nachfolgend „Auftragsverarbeiter") geschlossen und konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO im Rahmen des zwischen ihnen bestehenden Hauptvertrags über die Nutzung der GuestlineHub-Module zur Ergänzung des Guestline-Rezlynx-Property-Management-Systems.
(1) Gegenstand der Verarbeitung ist die Erbringung der im Hauptvertrag vereinbarten Modul-Leistungen durch den Auftragsverarbeiter für den Verantwortlichen. Der Verantwortliche bleibt datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die verarbeiteten personenbezogenen Daten seiner Gäste, Mitarbeitenden und Geschäftspartner.
(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags zzgl. einer Nachlauffrist von 30 Kalendertagen zur Datenübergabe oder Datenlöschung.
Die Verarbeitung umfasst die Erhebung, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, das Abgleichen oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung personenbezogener Daten zum Zweck der Bereitstellung der vertraglich vereinbarten Modul-Leistungen (Channel Manager Booking.com, OTA-Konnektor Expedia + HRS, Booking Engine Widget, Distribution DACH, Yield Management, Analytics-Dashboard, digitale Meldescheine, Zahlungskonnektor Concardis, GDS-Konnektor, Multi-Property).
Verarbeitet werden je nach eingesetzten Modulen insbesondere: Name, Vorname, Anschrift, Geburtsdatum, Staatsangehörigkeit, Ausweisdokumentdaten (Meldeschein nach § 29 BMG), E-Mail-Adresse, Telefonnummer, Reservierungsdaten (Anreise, Abreise, Zimmertyp, Ratenplan, Anzahl Personen, besondere Wünsche), Zahlungsverkehrsdaten (tokenisiert), Kommunikationshistorie zwischen Beherbergungsbetrieb und Gast.
Betroffene Personen sind Gäste des Verantwortlichen, deren Familienmitglieder und Reisebegleiter, Mitarbeitende des Verantwortlichen (soweit diese im Rahmen der Modul-Nutzung authentifiziert werden), Geschäftspartner des Verantwortlichen (etwa Reisebüros mit Direktbuchungsvereinbarung).
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das Recht der Europäischen Union oder das Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(3) Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (nachfolgend § 9).
(4) Der Auftragsverarbeiter beachtet die Bedingungen für die Inanspruchnahme der Dienste weiterer Auftragsverarbeiter (Sub-Auftragsverarbeiter) gemäß den Absätzen 2 und 4 des Art. 28 DSGVO.
(5) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit dies möglich ist, für die Erfüllung der Pflichten des Verantwortlichen zur Beantwortung der Anträge auf Wahrnehmung der Betroffenenrechte (Art. 15 bis 22 DSGVO).
(6) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
(7) Der Auftragsverarbeiter löscht oder gibt nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten nach Wahl des Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.
(8) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Artikel 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen anderen von diesem beauftragten Prüfer.
(1) Der Verantwortliche willigt in die Inanspruchnahme folgender Sub-Auftragsverarbeiter durch den Auftragsverarbeiter zum Zeitpunkt des Vertragsschlusses ein: Hetzner Online GmbH (Rechenzentrum Frankfurt am Main) für Server-Hosting; TransIP B.V. (Rechenzentrum Amsterdam) für Ausfallsicherung; Twilio SendGrid Inc. (europäische Instanz) für transaktionalen E-Mail-Versand; Concardis GmbH / Nexi Group (Deutschland) für Zahlungsabwicklung.
(2) Beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung anderer Auftragsverarbeiter werden dem Verantwortlichen mit einer Vorlauffrist von mindestens 30 Kalendertagen mitgeteilt. Der Verantwortliche hat das Recht, gegen derartige Änderungen Einspruch zu erheben.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen. Anfragen betroffener Personen, die direkt an den Auftragsverarbeiter gerichtet werden, leitet dieser unverzüglich (spätestens binnen 3 Werktagen) an den Verantwortlichen weiter, ohne selbst inhaltlich zu reagieren.
Der Auftragsverarbeiter meldet dem Verantwortlichen jeden Datenschutzverstoß unverzüglich nach Kenntniserlangung, spätestens binnen 24 Stunden. Die Meldung enthält alle nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben. Der Verantwortliche bleibt für die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO verantwortlich.
Der Auftragsverarbeiter setzt folgende Maßnahmen um: (a) Vertraulichkeit: Zutrittskontrolle (elektronisches Schließsystem, Videoüberwachung Eingangsbereiche), Zugangskontrolle (2FA für alle Konten, kryptografische Passwortspeicherung mit Argon2id), Zugriffskontrolle (rollen- und regelbasiert, Vier-Augen-Prinzip), Trennungskontrolle (Mandantentrennung auf Datenbankebene). (b) Integrität: Weitergabekontrolle (TLS 1.3 mit Perfect Forward Secrecy), Eingabekontrolle (Audit-Log 12 Monate). (c) Verfügbarkeit und Belastbarkeit: Verfügbarkeitskontrolle (redundante Rechenzentren, USV, Notstromdiesel, ISO-27001-Zertifikat des Providers), Wiederherstellbarkeit (RPO 15 Minuten, RTO 4 Stunden, Immutable Backups 30 Tage). (d) Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung: interne Sicherheits-Audits alle 6 Monate, externe Penetrationstests alle 12 Monate, Auftragskontrolle durch Vier-Augen-Freigabe kritischer Änderungen.
Die Verarbeitung personenbezogener Daten erfolgt ausschließlich in Rechenzentren innerhalb der Europäischen Union (Frankfurt am Main als Primär-Standort, Amsterdam als Ausfallsicherung). Es findet keine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums statt.
Dieser AVV wird für die Dauer des Hauptvertrags geschlossen. Er endet automatisch mit dem Ende des Hauptvertrags. Bestimmungen, die ihrer Natur nach über das Vertragsende hinaus fortgelten (insbesondere Vertraulichkeit, Löschung, Herausgabe von Daten), bleiben davon unberührt.
Es gilt deutsches Recht. Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist Hamburg. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.