Vereinbarung zur Auftragsverarbeitung
Zuletzt aktualisiert: 17. Juli 2026
Diese Vereinbarung zur Auftragsverarbeitung ist Teil der Nutzungsbedingungen zwischen dem FormiBook-Nutzer und der unter „Angaben zum Auftragsverarbeiter“ genannten juristischen Person (dem Auftragsverarbeiter). Sie gilt automatisch, wenn der Auftragsverarbeiter personenbezogene Daten im Auftrag des Nutzers verarbeitet.
Der Nutzer ist Verantwortlicher und der Auftragsverarbeiter ist Auftragsverarbeiter, sofern eine bestimmte Verarbeitung rechtlich nicht anders eingeordnet wird.
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet Daten zur Bereitstellung, zum Schutz, zur Unterstützung und Beendigung des Dienstes während der Kontolaufzeit sowie der vereinbarten Rückgabe- und Löschfristen.
2. Verarbeitung
Die Vorgänge umfassen Erhebung, Speicherung, Organisation, Anzeige, Übermittlung auf rechtmäßige Weisung, Sicherung, Export und Löschung. Zweck ist die Verwaltung von Ressourcen, Dienstleistungen, Verfügbarkeit, Kunden, Buchungen, Nachrichten, Preisen, Status und zugehörigen Zahlungsaufzeichnungen.
Betroffene können Kunden, Gäste, Mitarbeiter, Vertreter und andere Personen sein, deren Daten der Nutzer rechtmäßig eingibt. Daten können Identitäts- und Kontaktangaben, Buchungs- und Leistungsdetails, Nachrichten, Dateien, Zahlungsstatus sowie besondere Kategorien umfassen, sofern der Nutzer diese auf rechtmäßiger Grundlage verarbeitet.
3. Weisungen des Nutzers
Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte rechtmäßige Weisungen des Nutzers, einschließlich dieser Bedingungen und Handlungen im System. Hält der Auftragsverarbeiter eine Weisung für einen Verstoß gegen Datenschutzrecht, informiert er den Nutzer und kann ihre Ausführung bis zur Klärung aussetzen.
4. Vertraulichkeit und Sicherheit
Zugriff erhalten nur Personen, die ihn benötigen und zur Vertraulichkeit verpflichtet sind. Der Auftragsverarbeiter nutzt verhältnismäßige Sicherheitsmaßnahmen, darunter Zugriffsverwaltung, geschützte Übertragung, Protokollierung, Sicherungen, Schwachstellenmanagement und Reaktionsverfahren. Einzelne Maßnahmen können sich ändern, ohne das Gesamtschutzniveau zu senken.
5. Unterauftragsverarbeiter
Der Nutzer erteilt eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Das aktuelle Verzeichnis mit Zwecken und Verarbeitungsorten steht befugten Nutzern im System oder auf Anfrage an info@expooffice.lt zur Verfügung. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf mindestens gleichwertigen Datenschutz.
Der Auftragsverarbeiter kündigt eine Hinzunahme oder einen Austausch mindestens 15 Tage vorher an. Der Nutzer kann in dieser Zeit wegen eines konkreten, begründeten Datenschutzrisikos widersprechen. Der Auftragsverarbeiter bemüht sich um eine wirtschaftlich zumutbare Alternative; ist keine verfügbar, kann jede Partei den betroffenen Dienst beenden. Erfolgt dies vor Ablauf eines bezahlten Zeitraums, wird der ungenutzte Teil erstattet.
6. Internationale Übermittlungen
Eine Übermittlung außerhalb des EWR ist nur über einen einschlägigen DSGVO-Mechanismus zulässig, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln mit erforderlichen Zusatzmaßnahmen. Der Nutzer bevollmächtigt den Auftragsverarbeiter, entsprechende Bedingungen mit Unterauftragsverarbeitern zu vereinbaren.
7. Betroffenenanfragen und Unterstützung
Unter Berücksichtigung der Verarbeitung unterstützt der Auftragsverarbeiter den Nutzer angemessen bei Betroffenenanfragen sowie Pflichten zu Sicherheit, Vorfallmeldungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden. Für Entscheidung und Kommunikation mit Betroffenen bleibt der Nutzer verantwortlich.
8. Verletzung personenbezogener Daten
Nach Bestätigung einer Verletzung personenbezogener Daten informiert der Auftragsverarbeiter den Nutzer ohne unangemessene Verzögerung und liefert verfügbare Informationen zur Bewertung und Erfüllung seiner Pflichten. Die Meldung ist kein Schuldeingeständnis.
9. Rückgabe und Löschung
Ein Export wird auf gesonderte Anfrage gemäß den Nutzungsbedingungen bereitgestellt. Nach Vertragsende hat der Nutzer 30 Tage, ihn zu erhalten. Danach werden Daten aus dem aktiven System gelöscht, sofern das Gesetz keine Aufbewahrung verlangt; Restdaten in isolierten Sicherungen werden binnen 90 Tagen durch Rotation entfernt.
10. Informationen und Prüfungen
Der Auftragsverarbeiter stellt angemessen erforderliche Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO bereit. Zuerst erfolgt eine dokumentarische oder Fernprüfung. Eine reguläre Prüfung darf höchstens einmal jährlich nach angemessener Vorankündigung während der Geschäftszeiten und unter Wahrung der Vertraulichkeit sowie der Sicherheit anderer Nutzer stattfinden.
Eine zusätzliche Prüfung ist nach einem bestätigten Vorfall oder auf Verlangen einer Aufsichtsbehörde zulässig. Die Kosten trägt der Nutzer, außer die Prüfung ergibt einen wesentlichen Verstoß des Auftragsverarbeiters.
11. Haftung und Vorrang
Die Haftung richtet sich nach den Nutzungsbedingungen unter Wahrung zwingender DSGVO-Rechte. Bei Widersprüchen zur Verarbeitung personenbezogener Daten hat diese Vereinbarung Vorrang vor den allgemeinen Bedingungen.
12. Recht, Sprachen und Kontakt
Es gilt litauisches Recht. Bei Abweichungen zwischen Sprachfassungen hat die litauische Fassung Vorrang, sofern zwingendes Recht nichts anderes vorschreibt. Kontakt zur Vereinbarung: info@expooffice.lt.