Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag („AVV“) regelt die Verarbeitung personenbezogener Daten, die die NOCTION PLATFORM, S.L. („Scennio“, der Auftragsverarbeiter) im Auftrag des vertragsschließenden Betriebs (der Verantwortliche) bei der Bereitstellung der Scennio-Plattform durchführt, gemäß Artikel 28 der Verordnung (EU) 2016/679 (DSGVO). Er ist integraler Bestandteil der zwischen den Parteien geschlossenen Geschäftsbedingungen.

Verantwortlicher: der vertragsschließende Betrieb (Restaurant, Nachtlokal, Veranstaltungssaal oder Veranstalter), der die Zwecke und Mittel der Verarbeitung der Daten seiner Kunden festlegt.

Auftragsverarbeiter: NOCTION PLATFORM, S.L. (Marke „Scennio“), die die Daten ausschließlich im Auftrag und nach den dokumentierten Weisungen des Verantwortlichen verarbeitet.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen ausschließlich zum Zweck der Bereitstellung der Plattformdienste. Die Verarbeitung dauert für die Laufzeit des Hauptvertrags; bei dessen Beendigung gilt die Klausel zur Löschung oder Rückgabe.

Die Verarbeitung umfasst die für Ticketverkauf, Reservierungen, Listen, Bestellungen, Zutrittskontrolle, Zahlungsabwicklung, Kommunikation mit den Gästen sowie die mit der Plattform verbundenen Analyse- und Supportfunktionen erforderlichen Vorgänge.

Betroffene Personen: Endkunden, Gäste und Nutzer des Verantwortlichen. Daten: Identifikations- und Kontaktdaten (Name, E-Mail, Telefon), Reservierungs-/Kauf- und (tokenisierte) Zahlungsdaten sowie technische Nutzungsdaten. Eine Verarbeitung besonderer Datenkategorien ist nicht vorgesehen.

Der Verantwortliche legt die Zwecke und Mittel der Verarbeitung fest und sichert zu, über eine gültige Rechtsgrundlage für die dem Auftragsverarbeiter zur Verfügung gestellten Daten zu verfügen. Dem Verantwortlichen obliegt es, die betroffenen Personen zu informieren und gegebenenfalls ihre Einwilligung einzuholen, Betroffenenanfragen zu bearbeiten und die Verarbeitungsweisungen schriftlich zu erteilen. Der Verantwortliche sichert zu, dass seine Weisungen rechtmäßig sind und nicht gegen das Datenschutzrecht verstoßen.

Der Auftragsverarbeiter verarbeitet die Daten nur nach den dokumentierten Weisungen des Verantwortlichen, auch in Bezug auf Drittlandübermittlungen, sofern nicht gesetzlich verpflichtet; verwendet die Daten zu keinem anderen Zweck; und unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Auffassung nach gegen die DSGVO, das spanische Organgesetz 3/2018 (LOPDGDD) oder sonstiges Datenschutzrecht der Union oder der Mitgliedstaaten verstößt, und kann die Ausführung dieser Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, einschließlich gegebenenfalls Pseudonymisierung und Verschlüsselung, Zugriffskontrolle, Ereignisprotokollierung, Datensicherungen, der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sowie Verfahren zur regelmäßigen Überprüfung und Bewertung ihrer Wirksamkeit.

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern (z. B. Hosting-, Zahlungs-, Kommunikations- und Analyseanbieter). Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf und informiert über Neuaufnahmen oder Änderungen, sodass der Verantwortliche aus berechtigten Gründen widersprechen kann. Der Auftragsverarbeiter bleibt dem Verantwortlichen gegenüber für die Erfüllung der Datenschutzpflichten des Unterauftragsverarbeiters voll verantwortlich. Die aktuelle Liste der Unterauftragsverarbeiter ist auf Anfrage unter info@scennio.com erhältlich. Zu den Unterauftragsverarbeitern können Anbieter von KI-Modellen gehören, die von den Assistenzfunktionen der Plattform (Scennio Copilot) genutzt werden; für sie gelten dieselben Pflichten und gegebenenfalls die in diesem AVV vorgesehenen Garantien für internationale Datenübermittlungen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte sowie bei der Einhaltung der Pflichten der Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen und Datenschutz-Folgenabschätzungen).

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, und stellt die erforderlichen Informationen bereit, damit der Verantwortliche seine Meldepflichten erfüllen kann.

Der Auftragsverarbeiter führt schriftlich und im Auftrag des Verantwortlichen ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten gemäß Artikel 30 Abs. 2 DSGVO und stellt es dem Verantwortlichen und der Aufsichtsbehörde auf Anfrage zur Verfügung.

Nach Wahl des Verantwortlichen löscht oder gibt der Auftragsverarbeiter nach Abschluss der Erbringung der Dienste alle personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Auf Verlangen des Verantwortlichen bestätigt der Auftragsverarbeiter die Löschung schriftlich.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 zur Verfügung und ermöglicht und trägt zu Überprüfungen einschließlich Inspektionen bei, die vom Verantwortlichen oder einem beauftragten Prüfer mit angemessener Vorankündigung durchgeführt werden.

Sofern die Verarbeitung Übermittlungen außerhalb des EWR umfasst, gewährleistet der Auftragsverarbeiter geeignete Garantien nach Kapitel V DSGVO (Angemessenheitsbeschlüsse, einschließlich des EU-U.S. Data Privacy Framework, oder Standardvertragsklauseln).

Jede Partei haftet für den Schaden, den sie durch die Verletzung ihrer Pflichten gemäß Artikel 82 DSGVO verursacht. Der Auftragsverarbeiter haftet nur, wenn er den speziell den Auftragsverarbeitern auferlegten Pflichten der DSGVO nicht nachgekommen ist oder außerhalb oder entgegen den rechtmäßigen Weisungen des Verantwortlichen gehandelt hat.

Dieser AVV unterliegt spanischem Recht und der DSGVO und ist Bestandteil der Geschäftsbedingungen zwischen den Parteien mit derselben Laufzeit. Zuständige Aufsichtsbehörde ist die spanische Datenschutzbehörde (AEPD). Bei Widersprüchen in Datenschutzfragen hat dieser AVV Vorrang.

Bei Fragen zu diesem AVV kannst du uns unter info@scennio.com schreiben.